Kampaň wfx-loot zasiahla tisíce GitHub repozitárov cez ukradnuté účty

wfx-loot kampaň zneužila kompromitované účty GitHub na rozšírenie malvéru zameraného na tajomstvá z prostredí CI. Podľa analýzy Aikido Security sa aktivita začala 10. novembra 2026. Útočník použil 4 837 kompromitovaných účtov na vytvorenie testovacích pull requestov v 61 764 repozitároch a škodlivý kód sa podľa dostupných zistení spustil najmenej v 1 806 z nich.

Nejde o potvrdené zneužitie zraniteľnosti služby GitHub Actions. Dostupné technické analýzy ukazujú na použitie platných, ale ukradnutých tokenov a oprávnení účtov. Verejne zatiaľ nie je objasnené, akým spôsobom útočník tieto tokeny a prihlasovacie údaje získal.

Ako wfx-loot kampaň používala testovacie pull requesty

Jedným z viditeľných indikátorov bol pull request s názvom docs: dependency audit notes, vytvorený z vetvy wfx-docs. Takýto pull request sám osebe nespúšťa škodlivý kód. Jeho úlohou bolo overiť, či ukradnutý token môže do konkrétneho repozitára zapisovať.

Prítomnosť testovacieho pull requestu preto znamená kompromitáciu účtu s prístupom do repozitára, nie automaticky odcudzenie tajomstiev z daného projektu. K spusteniu zlodeja tajomstiev bolo potrebné vložiť škodlivú zmenu do kódu alebo konfigurácie, ktorá sa následne vykonala.

SafeDep nezávisle identifikoval 8 093 verejných repozitárov so škodlivými commitmi. Tento počet však nemožno vykladať ako počet úspešných spustení payloadu: škodlivý commit mohol byť odstránený alebo sa workflow nemusel vykonať. Počet zasiahnutých súkromných repozitárov a prípadov s vymazanými stopami môže byť vyšší.

Ako sa zlodej CI tajomstiev dostával do projektov

Analýza StepSecurity potvrdila tri hlavné cesty vloženia malvéru. Útočník upravoval GitHub Actions workflowy, existujúce shellové skripty alebo pridával postinstall hook do súboru package.json. Posledný spôsob rozširuje riziko aj mimo samotného CI: škodlivý kód sa môže spustiť na vývojárskom zariadení, ak používateľ vykoná npm install nad commitom s takto upraveným balíkom.

Malvér zbieral tajomstvá dostupné konkrétnemu CI jobu, tokeny GitHub Actions a cloudové poverenia. Pri potvrdenom spustení treba tokeny, secrets a cloudové roly dostupné workflowu považovať za potenciálne kompromitované.

Útočník podľa zistení často následne revertoval vykonané zmeny a mazal záznamy o behoch workflowov. Tým znižoval viditeľnosť incidentu. Medzery v číslovaní behov GitHub Actions môžu patriť medzi signály, ktoré treba pri kontrole histórie preveriť.

Čo majú správcovia repozitárov kontrolovať

Organizácie by mali preveriť históriu commitov, pull requestov a workflowov za obdobie kampane. Medzi uvádzané indikátory kompromitácie patria vetva wfx-docs, názov docs: dependency audit notes a commity ci: refresh build cache, chore: add ci helper či ci: restore.

• Skontrolovať zmeny v GitHub Actions workflowoch, shellových skriptoch a súboroch package.json.
• Preveriť, či sa v dotknutom repozitári spustil škodlivý payload alebo sa objavili medzery v histórii behov workflowov.
• V prípade spustenia rotovať dotknuté tokeny, secrets a cloudové oprávnenia.
• Overiť zmeny v prostrediach AWS a Azure, ktoré by mohli súvisieť s perzistenciou.
• Skontrolovať vývojárske zariadenia, ak mohli vykonať npm install nad kompromitovaným commitom.

Časť aktivít využila tokeny vydané aplikácii Fly.io GitHub App, no StepSecurity nenašla dôkaz o kompromitácii infraštruktúry Fly.io. Rovnako nie je potvrdené, že za aktivitou stojí ten istý aktér ako pri októbrovej kampani GhostAction; Aikido upozornilo na rozdiely v použitej infraštruktúre a technikách.

Ďalší vývoj ukáže reakcie GitHubu, Fly.io a ďalších dotknutých poskytovateľov na pôvod kompromitovaných tokenov, ako aj prípadné potvrdené zneužitie odcudzených poverení alebo škodlivé vydania balíkov.

Overené a aktualizované: 12. 11. 2026 15:23