Специалисты по кибербезопасности обнаружили масштабную хакерскую кампанию wfx-loot, в ходе которой злоумышленники использовали тысячи скомпрометированных аккаунтов GitHub для кражи конфиденциальных данных. Атака затронула более 61 тысячи репозиториев, причем как минимум в 1806 проектах преступникам удалось получить доступ к секретным ключам и учетным данным.
Для проникновения злоумышленники использовали уже действующие учетные данные, а не уязвимости самой платформы. Вредоносный скрипт запускался в процессе сборки проекта, собирал доступную конфиденциальную информацию и отправлял ее на подконтрольные атакующим серверы. После выполнения программы преступники отменяли внесенные изменения и удаляли журналы запуска, затрудняя обнаружение взлома.
Кибератака началась 10 ноября 2026 года. По данным исследователей Aikido Security, злоумышленники задействовали 4837 ранее скомпрометированных аккаунтов разработчиков и автоматизированных ботов. С их помощью они проверяли возможность изменения файлов в репозиториях, после чего внедряли вредоносный код в процессы автоматической сборки программного обеспечения.
Главной целью стали секретные данные, хранящиеся в GitHub Actions. Среди них оказались API-ключи, токены доступа, учетные данные облачных платформ Amazon Web Services, Microsoft Azure и Google Cloud, а также ключи сервисов искусственного интеллекта.
Особую опасность представляет способность вредоносного ПО создавать дополнительные механизмы доступа к облачной инфраструктуре, так что даже после смены паролей и токенов злоумышленники потенциально могут сохранять контроль над отдельными ресурсами.
Исследователи также предупреждают о рисках для экосистемы открытого программного обеспечения. Не менее 50 скомпрометированных аккаунтов принадлежат разработчикам, публикующим пакеты в популярных репозиториях npm, PyPI, Go и других системах. Это создает угрозу дальнейшего распространения вредоносного кода через программные зависимости.
Поэтому на данный момент специалисты рекомендуют владельцам затронутых проектов проверить историю изменений GitHub Actions, отозвать подозрительные токены, обновить ключи доступа и провести аудит облачной инфраструктуры на наличие посторонних учетных записей и скрытых механизмов авторизации.
Читать также: Dreame выпустила робот-пылесос с самоочищающейся шваброй.