Güvenlik13 Kas 2026 23:13 UTC·1 dk okuma

wfx-loot saldırısı 61 bin GitHub deposunu hedef aldı

wfx-loot kampanyası ele geçirilen 4,8 bin GitHub hesabıyla 61,7 bin depoyu yokladı. Araştırmacılar 1,8 binden fazla hedeften sır çalındığını doğruladı.

A laptop screen showing code with a red warning overlay, symbolising a malicious GitHub Actions workflow stealing credentials. — Görsel: Хабр

Sahte bir pull request başlığı, “docs: dependency audit notes”, wfx-loot kampanyasının GitHub depolarından sır çalmasına yetti. Güvenlik şirketi Aikido'nun araştırmacılarına göre saldırganlar 10 Kasım 2026'dan itibaren 61 binden fazla depoyu yokladı ve 1,8 binden fazla hedeften sır çalındığı doğrulandı.

wfx-loot saldırısı nasıl işledi?

Saldırganlar, ele geçirilmiş 4,8 binden fazla GitHub hesabının kimlik bilgilerini kullandı. Bu hesaplarla 61,7 bin depoda pull request açıp hesabın yazma yetkisi olup olmadığını denediler. İstekler bağımlılık denetimi notu gibi görünüyordu. Bunların yaklaşık %92'si hâlâ açık, yani gerçek depo sahipleri büyük olasılıkla olanı fark etmedi.

Sonra 1,5 bin satırlık bir kabuk betiği devreye girdi. Saldırganlar mevcut GitHub Actions iş akışlarını değiştirdi, kısa ömürlü dallara yenilerini ekledi ve npm paketi kurulurken tetiklenen kancalar yerleştirdi. Betik GITHUB_TOKEN'ı, OIDC belirteçlerini, AWS, Azure ve Google Cloud kimlik bilgilerini, SSH ve GPG anahtarlarını, Docker, Kubernetes, npm, PyPI, Vault ve Terraform verilerini toplamaya çalışıyordu. OpenAI, Anthropic, Gemini, Hugging Face, Cursor ve GitHub Copilot erişim bilgileri de listedeydi. Ayrıca .env dosyaları, özel anahtarlar, kabuk geçmişi ve işlem belleği hedefteydi.

Betik, GitHub OIDC belirteçlerini geçici bulut oturumlarına çevirebiliyordu. AWS'de bulduğu IAM rolleriyle uzun süreli kimlik bilgileri oluşturabiliyordu. Toplanan veri tar arşivi olarak saldırganların kontrolündeki iki uç noktadan birine HTTP POST ile gitti. Ardından değişiklikler geri alındı, iş akışı kayıtları ve günlükler silindi. Aikido'ya göre bu bir dakikadan kısa sürdü.

Hangi hesaplar ele geçirildi?

Hesaplar arasında Fortune 100 listesindeki kuruluşlara, ABD Genel Hizmetler İdaresi'ne, Fransa hükümetine, Nextcloud'a ve WebdriverIO'ya ait olanlar vardı. Yaklaşık 50 hesabın npm, PyPI, Go, crates ve Packagist'te paket yayımlama yetkisi olabileceği tahmin ediliyor. Kampanya, 2025'teki GhostAction ile bazı benzerlikler taşıyor.

Depo sahipleri ne yapmalı?

Aikido, wfx-docs dalının, probe adlı pull request'in ve iş akışı çalışma numaralarındaki boşlukların kontrol edilmesini öneriyor. Yük çalıştıysa, etkilenen iş akışlarının erişebildiği tüm sırlar ve bulut rolleri ele geçirilmiş sayılmalı ve hemen yenilenmeli.

Göz atmaya değer uygulamalar

SUMO: sayı bulmacası

Doğru kareleri seçin, toplayın, hedefe ulaşın. Öğrenmesi kolay, ustalaşması zor. Ücretsiz, her yaşa uygun.

Dialo: konuşarak dil öğrenin

Yapay zekâ sohbet partneriyle konuşun; her cümleniz düzeltilip kendi dilinizde açıklanarak geri gelsin. 9 dil, A1'den C2'ye.

ediviewer: EDI dosyalarını belge gibi okuyun

EDIFACT ve X12 mesajlarını açın, her segment açıklansın, JSON/XML'e çevirin, PDF ve Excel'e aktarın. Yerelde çalışır, yükleme yok.

giftdetect: doğru hediye dakikalar içinde

Kime, hangi özel gün için ve nasıl bir karakter olduğunu seçin. Arama motoru yerel mağazaların ürün açıklamalarını okuyup uygun olanları sıralar. Ücretsiz, kayıt yok.

Etiketler:githubgithub actionswfx-lootsupply chain attackaikidocredential theft