Thousands of GitHub repositories targeted in widespread attack — 4,800 accounts already compromised to steal cloud credentials

Penyerang siber memanfaatkan 4.837 akun GitHub yang telah dikompromikan untuk membuka pull request di 61.764 repositori, dengan tujuan menyebarkan infostealer dan mencuri kredensial cloud. Dari jumlah tersebut, setidaknya 1.835 repositori mengeksekusi payload berbahaya dan mengalami eksfiltrasi kredensial, termasuk token autentikasi, kredensial AWS, Azure, Google Cloud, kunci SSH, API key layanan AI seperti OpenAI dan Anthropic, serta file konfigurasi sensitif lainnya. Para peneliti dari Aikido melacak kampanye ini sebagai 'wfx-loot'. Pull request yang dikirim memiliki judul 'docs: dependency audit notes' dan berasal dari branch bernama 'wfx-docs'. Setelah mendapatkan akses tulis, penyerang menggunakan tiga metode untuk menyebarkan skrip berbahaya: memodifikasi workflow GitHub Actions yang ada, menambahkan shell script yang dipicu oleh hook instalasi npm, atau membuat file workflow baru pada branch sementara. Payload berisi sekitar 1.500 baris kode yang mencari informasi sensitif di lingkungan yang terkompromi. Malware juga berupaya memperluas akses dengan menukar token curian menjadi sesi cloud, memalsukan akun layanan, dan membuat kredensial baru. Penyerang kemudian membalikkan perubahan dan menghapus log eksekusi workflow untuk menghilangkan jejak. Kampanye ini juga merembes ke rantai pasok perangkat lunak, dengan ditemukannya paket PHP yang terkompromi di Packagist dan dua versi modul Go yang terdampak. Aikido menyarankan siapa pun yang repositorinya mengeksekusi payload berbahaya untuk menganggap semua rahasia dan kredensial cloud yang dapat diakses oleh workflow mereka telah terkompromi dan perlu segera dirotasi.