Una campaña de ataque a gran escala conocida como "wfx-loot" ha comenzado a atacar la plataforma GitHub, donde los atacantes han apuntado a más de 60,000 repositorios de software para probar accesos robados e inyectar software malicioso destinado a robar credenciales sensibles. Según informes de empresas de seguridad como Aikido Security y StepSecurity, se han detectado aproximadamente 4,800 cuentas comprometidas que fueron utilizadas para enviar solicitudes de extracción (Pull Requests) sospechosas con el fin de probar los permisos disponibles.
Los informes explicaron que el software malicioso logró ejecutarse dentro de más de 1,800 repositorios de software donde la configuración y los permisos lo permitían, mientras que la empresa SafeDep registró la llegada de modificaciones maliciosas a unos 8,093 repositorios públicos, lo cual no significa necesariamente que la ejecución del software haya tenido éxito en todos ellos.
Mecanismo de ataque: explotar la confianza, no las vulnerabilidades
Uno de los puntos fundamentales de este ataque es que los atacantes no explotan una vulnerabilidad de software en GitHub Actions, sino que dependen del uso de "tokens de acceso" válidos que pertenecen a desarrolladores o cuentas de software (bots) que fueron tomadas previamente. El software malicioso ha sido inyectado en varios lugares, incluyendo:
- Flujos de trabajo de GitHub Actions (Workflows).
- Scripts de Shell ejecutados por sistemas de integración continua (CI).
- Hooks de instalación de paquetes npm, lo que representa un riesgo para los desarrolladores que instalan dependencias mientras las modificaciones maliciosas están presentes.
¿Qué cambia realmente este ataque?
La gravedad de la campaña "wfx-loot" radica en el cambio de estrategia de los atacantes, pasando de buscar vulnerabilidades técnicas (exploits) a explotar la "confianza otorgada" a las cuentas comprometidas. En lugar de intentar romper el sistema, el atacante utiliza claves legítimas para realizar acciones ilegítimas, lo que hace que su detección sea mucho más difícil. El software malicioso tiene como objetivo robar tokens de GitHub, secretos de repositorios y credenciales de la nube como AWS y Azure, además de claves de servicios de inteligencia artificial (AI service keys), lo que podría llevar a una intrusión completa en la infraestructura en la nube de las organizaciones y ampliar el alcance del acceso.
Para ocultar sus huellas, los atacantes siguen un método que consiste en revertir los cambios de software y eliminar los registros de ejecución de los flujos de trabajo (Workflow runs) después de completar la tarea. También se ha observado el uso de tokens emitidos por la aplicación Fly.io en algunas solicitudes, aunque hasta ahora no hay evidencia de que la infraestructura de la propia empresa Fly.io haya sido comprometida.
Recomendaciones de seguridad para desarrolladores y organizaciones
Dada la gravedad de la situación, las empresas de seguridad aconsejan a las organizaciones que podrían haber estado expuestas a la ejecución del software malicioso que tomen medidas inmediatas, que incluyen:
- Revocar todos los tokens de acceso que se sospeche hayan sido comprometidos.
- Rotar todos los secretos y credenciales que puedan haber sido expuestos.
- Revisar minuciosamente los registros de computación en la nube en busca de cualquier cambio o actividad no autorizada.