Хакерська кампанія wfx-loot скомпрометувала 4800 облікових записів GitHub

Кампанія під назвою wfx-loot розпочалася близько 12:45 за всесвітнім координованим часом 10 листопада. Зловмисники отримали доступ до 4837 акаунтів і здійснили перевірку 61 764 репозиторіїв на наявність прав запису. Метою атаки було викрадення секретів GitHub Actions та облікових даних хмарних платформ AWS, Azure і GCP.

Про це повідомляє BleepingComputer з посиланням на aikido.dev

До числа скомпрометованих об’єктів увійшли акаунти компаній зі списку Fortune 100, а також структури державного сектору, включаючи Адміністрацію загальних служб США та уряд Франції. Дослідники з компанії Aikido зазначають, що близько 50 скомпрометованих акаунтів мали права на публікацію в екосистемах програмного забезпечення, таких як npm, PyPI, Go, crates та Packagist.

Зловмисники прагнули викрасти секрети CI, тоді як випуски пакетів стали побічним продуктом автоматизованого процесу публікації.

— Дослідники компанії Aikido

Хакерська схема передбачала відкриття запитів на внесення змін під назвою docs: dependency audit notes. Після отримання доступу зловмисники доставляли шкідливий скрипт через модифікацію робочих процесів GitHub Actions. Програма збирала дані, обмінювала токени GitHub OIDC на тимчасові хмарні сесії та намагалася закріпитися в інфраструктурі, створюючи довгострокові облікові дані.

Після завершення операції нападники оперативно скасовували зміни та видаляли логи протягом хвилини. Зафіксовано випадки автоматичного поширення шкідливого коду через оновлення пакетів у Packagist та Go module. Фахівці виявили збіги цієї кампанії з активністю GhostAction, зафіксованою у 2025 році.