Uma campanha de ataque em larga escala conhecida como "wfx-loot" começou a atingir a plataforma GitHub, onde os atacantes visaram mais de 60.000 repositórios de software para testar acessos roubados e inserir softwares maliciosos destinados a roubar credenciais sensíveis. De acordo com relatórios de empresas de segurança como Aikido Security e StepSecurity, foram detectadas aproximadamente 4.800 contas comprometidas que foram utilizadas para enviar solicitações de pull (Pull Requests) suspeitas para testar as permissões disponíveis.
Os relatórios esclareceram que o software malicioso conseguiu operar dentro de mais de 1.800 repositórios de software onde as configurações e permissões permitiram, enquanto a empresa SafeDep registrou a chegada de modificações maliciosas em cerca de 8.093 repositórios públicos, o que não significa necessariamente o sucesso da execução do software em todos eles.
Mecanismo de ataque: exploração da confiança, não de vulnerabilidades
Um dos pontos fundamentais deste ataque é que os atacantes não exploram uma vulnerabilidade de software no GitHub Actions, mas dependem, em vez disso, do uso de "tokens de acesso" válidos pertencentes a desenvolvedores ou contas de software (Bots) que foram previamente comprometidas. O software malicioso foi injetado em vários locais, incluindo:
- Fluxos de trabalho do GitHub Actions (Workflows).
- Scripts de Shell executados por sistemas de integração contínua (CI).
- Hooks de instalação de pacotes npm, o que representa um risco para os desenvolvedores que instalam dependências enquanto as modificações maliciosas estão presentes.
O que este ataque realmente altera?
A gravidade da campanha "wfx-loot" reside na mudança da estratégia dos atacantes, que deixaram de buscar vulnerabilidades técnicas (Exploits) para explorar a "confiança concedida" às contas comprometidas. Em vez de tentar quebrar o sistema, o atacante utiliza chaves legítimas para realizar ações ilegítimas, o que torna a detecção muito mais difícil. O software malicioso visa roubar tokens do GitHub, segredos de repositórios e credenciais de nuvem como AWS e Azure, além de chaves de serviços de inteligência artificial (AI service keys), o que pode levar a uma invasão completa da infraestrutura em nuvem das organizações e expandir o escopo do acesso.
Para ocultar seus rastros, os atacantes seguem um método que consiste em reverter as alterações de software e excluir os registros de execução dos fluxos de trabalho (Workflow runs) após a conclusão da tarefa. Também foi observado o uso de tokens emitidos pelo aplicativo Fly.io em algumas solicitações, embora não haja evidências até o momento de que a infraestrutura da própria Fly.io tenha sido comprometida.
Recomendações de segurança para desenvolvedores e organizações
Dada a gravidade da situação, as empresas de segurança aconselham as organizações que podem ter sido expostas à execução do software malicioso a tomar medidas imediatas, que incluem:
- Revogar todos os tokens de acesso suspeitos de terem sido comprometidos.
- Rotacionar (Rotate) todos os segredos e credenciais que possam ter sido expostos.
- Revisar minuciosamente os registros de computação em nuvem em busca de quaisquer alterações ou atividades não autorizadas.