Безопасность13 нояб. 2026 г., 23:13 UTC·2 мин чтения

wfx-loot: хакеры проверили 61 тысячу репозиториев GitHub

Кампания wfx-loot использовала 4,8 тыс. взломанных аккаунтов GitHub и проверила 61,7 тыс. репозиториев. Кражу секретов подтвердили более чем у 1,8 тыс. целей.

A laptop screen showing code with a red warning overlay, symbolising a malicious GitHub Actions workflow stealing credentials. — Фото: Хабр

Обычный на вид запрос на слияние «docs: dependency audit notes» оказался началом кампании wfx-loot, которая крала секреты из репозиториев GitHub. По данным исследователей Aikido, с 10 ноября 2026 года хакеры проверили более 61 тыс. репозиториев, а кражу секретов подтвердили более чем у 1,8 тыс. целей.

Как работала атака wfx-loot

Злоумышленники взяли учётные данные более 4,8 тыс. взломанных аккаунтов GitHub и создали запросы на слияние в 61,7 тыс. репозиториев. Так они выясняли, хватает ли аккаунту прав на запись. Запросы маскировались под заметки по аудиту зависимостей. Около 92% из них до сих пор открыты, так что настоящие владельцы, скорее всего, ничего не заметили.

Дальше в дело шёл shell-скрипт на 1,5 тыс. строк. Хакеры меняли существующие рабочие процессы GitHub Actions, добавляли новые во временных ветках и внедряли хуки, срабатывающие при установке npm-пакетов. Скрипт пытался собрать GITHUB_TOKEN, токены OIDC, учётные данные AWS, Azure и Google Cloud, ключи SSH и GPG, данные Docker, Kubernetes, npm, PyPI, Vault и Terraform, а также доступы к OpenAI, Anthropic, Gemini, Hugging Face, Cursor и GitHub Copilot. В списке были и файлы .env, закрытые ключи, история командной оболочки и память процессов.

Кроме того, скрипт умел обменивать токены GitHub OIDC на временные облачные сессии. В AWS он мог через найденные роли IAM создавать долгосрочные учётные данные. Собранное уходило tar-архивами по HTTP POST на одну из двух конечных точек хакеров. Затем изменения откатывались, а записи рабочих процессов и журналы удалялись. По данным Aikido, всё это занимало меньше минуты.

Чьи аккаунты взломали

Среди них были аккаунты организаций из списка Fortune 100, Управления общих служб США, правительства Франции, Nextcloud и WebdriverIO. Около 50 аккаунтов, по оценке исследователей, могли публиковать пакеты в npm, PyPI, Go, crates и Packagist. Есть совпадения с кампанией GhostAction 2025 года.

Что делать владельцам репозиториев

Aihido рекомендует проверить ветку wfx-docs, запрос на слияние probe и пробелы в номерах запусков рабочих процессов. Если полезная нагрузка выполнилась, все секреты и облачные роли, доступные этим процессам, нужно считать скомпрометированными и сразу заменить.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Dialo: учите языки, разговаривая

Общайтесь с ИИ-собеседником: каждая фраза возвращается исправленной и объяснённой на вашем языке. 9 языков, от A1 до C2.

ediviewer: читайте EDI-файлы как документы

Открывайте сообщения EDIFACT и X12, каждый сегмент объяснён, конвертация в JSON/XML, экспорт в PDF и Excel. Работает локально, без загрузки.

giftdetect: подходящий подарок за минуты

Выберите, кому, по какому поводу и с каким характером. Поисковик читает описания товаров местных магазинов и выводит то, что подходит. Бесплатно, без регистрации.

Теги:githubgithub actionswfx-lootsupply chain attackaikidocredential theft