Una campaña usa 4.837 cuentas robadas de GitHub para sacar secretos y credenciales de nube

Una campaña bautizada como «wfx-loot» ha usado credenciales de 4.837 cuentas comprometidas de GitHub para sondear 61.764 repositorios en busca de permisos de escritura, según los investigadores de la empresa de seguridad de aplicaciones Aikido citados por BleepingComputer. Aikido sitúa el inicio hacia las 12:45 UTC del 10 de noviembre y publicó su análisis el 12 de noviembre.

Según esa investigación, el atacante abría solicitudes de cambio tituladas «docs: dependency audit notes» y, donde tenía permisos, introducía un programa de unas 1.500 líneas que modificaba o añadía flujos de GitHub Actions, o un gancho de instalación de npm. El programa intentaba recoger secretos de GitHub Actions, credenciales de nube de AWS, Azure y Google Cloud, claves de desarrollo e infraestructura y credenciales de servicios de IA, y luego borraba los cambios, las ejecuciones y los registros en menos de un minuto, siempre según Aikido.

Los investigadores confirmaron que se robaron secretos de al menos 1.835 objetivos, aunque no todos los repositorios ejecutaron el código. Entre las cuentas comprometidas había algunas de organizaciones de la lista Fortune 100, de la Administración de Servicios Generales de Estados Unidos, del Gobierno francés, de Nextcloud y de WebdriverIO, y unas 50 parecen tener permisos para publicar en registros de paquetes como npm, PyPI, Go, crates y Packagist, según BleepingComputer.

La publicación automática llevó el código malicioso a un paquete de Packagist y a dos versiones de un módulo de Go, según Aikido, que recomienda rotar de inmediato todos los secretos y roles de nube de los flujos afectados. No se ha atribuido la campaña a ningún actor y GitHub no ha comentado el caso en las páginas consultadas.