Ataque massivo à cadeia de suprimentos do GitHub rouba segredos de dezenas de milhares de repositórios

Uma campanha de roubo de credenciais batizada de wfx-loot está injetando cargas maliciosas em dezenas de milhares de repositórios do GitHub desde 10 de novembro, e em mais de 1.800 deles o malware realmente executou e enviou segredos do GitHub Actions e credenciais de nuvem direto para servidores controlados pelo atacante. Os pesquisadores contabilizaram 4.837 contas comprometidas abrindo pull requests de sondagem em 61.764 repositórios, sendo 10.431 deles em projetos que as contas nem possuíam.

O roteiro é rápido e cruel: o atacante abre um pull request chamado docs: dependency audit notes para confirmar acesso de escrita, injeta cerca de 1.500 linhas de shell script em um workflow existente ou em um branch descartável, e então reverte a mudança e apaga a execução e os logs em menos de um minuto. O script coleta segredos do Actions, arquivos de credenciais de nuvem e SSH, históricos de shell e tokens de ferramentas de IA, depois avança para AWS, GCP e Azure, criando chaves de acesso de longa duração, reescrevendo políticas de confiança de roles e adicionando credenciais federadas no Azure que sobrevivem a uma rotação completa de segredos.

A caça deve começar por branches wfx-docs, pelos pull requests de sondagem e por commits como ci: refresh build cache e chore: add dependency audit workflow. Se a carga executou, trate cada segredo e cada role de nuvem alcançável por esses workflows como comprometido, porque os mecanismos de persistência continuam ativos mesmo depois da rotação das credenciais.