Тысячи украденных учётных записей GitHub помогли хакерам организовать масштабную атаку на разработчиков программного обеспечения. Злоумышленники проверили доступ к 61 764 репозиториям, а как минимум в 1806 проектах сумели запустить вредоносный код для кражи паролей, токенов и облачных ключей. После проникновения преступники удаляли внесённые изменения и журналы запусков, оставляя владельцам проектов минимум следов.
Кибератака началась 10 ноября 2026 года и получила название wfx-loot. Специалисты Aikido Security выявили кампанию с использованием 4837 скомпрометированных аккаунтов GitHub. Через украденные учётные данные хакеры получили возможность изменять код в чужих репозиториях. При этом попытки проникновения не всегда завершались успешно: ограничения доступа и настройки безопасности мешали запуску вредоносной программы.
Атака начиналась с безобидного на вид запроса на изменение кода под названием docs: dependency audit notes. Преступники создавали ветку wfx-docs и добавляли небольшой файл с заметками о проверке зависимостей. Подобный запрос позволял проверить права доступа, после чего хакеры внедряли вредоносный скрипт непосредственно в GitHub Actions, систему автоматической сборки и тестирования программ. В отдельных случаях код прятали в служебных файлах или подключали к процессу установки зависимостей через npm.
Вредоносная программа содержала около 1500 строк и собирала практически все доступные секретные данные. Среди целей находились токены GitHub, SSH-ключи, пароли, учётные данные AWS, Google Cloud и Azure, а также ключи доступа к OpenAI, Anthropic, Gemini и другим ИИ-сервисам. Скрипт проверял переменные окружения, конфигурационные файлы и память запущенных процессов, где могли находиться расшифрованные секреты.
Кражей паролей возможности программы не ограничивались. Вредоносный код пытался расширить доступ к облачной инфраструктуре, создавать новые ключи AWS и добавлять способы авторизации в Azure. При успешном выполнении подобных действий злоумышленники могли сохранить доступ к системам даже после замены первоначально украденных учётных данных.
Особенно тщательно преступники скрывали следы проникновения. В большинстве случаев вредоносные изменения отменяли менее чем за минуту, а записи о выполнении GitHub Actions удаляли вместе с журналами. Иногда единственной зацепкой оставался пропущенный номер запуска автоматической сборки, который указывал на исчезнувшее задание.
По мере развития кампании хакеры меняли способы передачи украденной информации. Первоначально вредоносная программа отправляла собранные файлы на подконтрольные серверы, однако 12 ноября исследователи StepSecurity обнаружили отправку данных через Telegram. В более поздних образцах мессенджер стал основным каналом связи, поэтому блокировка первоначальных IP-адресов уже не гарантировала защиты.
Один из подтверждённых эпизодов затронул репозиторий nextcloud/docker. Вредоносный скрипт запустился на собственном сервере сборки проекта, собрал информацию из рабочего окружения и подготовил архив для отправки. Сохранившийся журнал содержал признаки успешной передачи данных. Разработчик Nextcloud отменил вредоносное изменение через 27 минут, однако к тому времени программа уже успела выполниться.
Атака затронула и цепочку поставок программного обеспечения. Среди владельцев скомпрометированных аккаунтов исследователи обнаружили не менее 50 разработчиков, публикующих пакеты через npm, PyPI, Go, Packagist и другие платформы. Вредоносные изменения попали в отдельные опубликованные версии пакетов Packagist и Go. При этом наличие заражённых файлов в Go-модулях не означает автоматического заражения пользователей, поскольку обычная сборка Go не запускает сценарии GitHub Actions.
Исследователи также заметили пересечение с октябрьской кампанией GhostAction, направленной на кражу секретных данных разработчиков. В более чем 100 репозиториях новый вредоносный код внедряли в файлы, оставшиеся после предыдущей атаки. Несмотря на совпадения, специалисты считают кампании самостоятельными и допускают участие разных злоумышленников, получивших доступ к одним и тем же украденным учётным данным.
Разработчикам рекомендуют проверить историю изменений начиная с 10 ноября, поискать подозрительные запросы docs: dependency audit notes, ветки wfx-docs и пропущенные номера запусков GitHub Actions. При обнаружении признаков заражения необходимо отозвать токены, заменить ключи доступа и проверить настройки облачных сервисов на наличие посторонних способов авторизации. Реальный масштаб утечки пока остаётся неизвестным, поскольку основная часть анализа охватывала общедоступные репозитории GitHub.
