Una campaña prueba accesos y roba secretos en más de 60.000 repositorios de GitHub

El 10 de noviembre de 2026 comenzó la campaña wfx-loot, según Aikido Security. La operación empleó unas 4.800 cuentas comprometidas para enviar pull requests de prueba a 61.764 repositorios de GitHub y comprobar si los accesos robados permitían modificarlos.

StepSecurity indicó que los pull requests no ejecutaban acciones por sí mismos. Cuando los permisos y la configuración lo permitían, el atacante insertaba código malicioso en flujos de trabajo de GitHub Actions, scripts de shell utilizados por sistemas de integración continua y hooks de instalación de npm.

Aikido Security detectó indicios de ejecución del ladrón de secretos en más de 1.800 repositorios. SafeDep contabilizó por separado 8.093 repositorios públicos que recibieron commits maliciosos, aunque esa cifra no implica que el código llegara a ejecutarse.

El malware buscaba tokens de GitHub, secretos de repositorios, credenciales cloud y claves de servicios de inteligencia artificial. También podía leer la memoria de procesos de los runners de GitHub Actions y ampliar el acceso o establecer persistencia en AWS y Azure. El atacante solía revertir los cambios y borrar las ejecuciones de los workflows para ocultar su actividad.

StepSecurity atribuyó 173 pull requests de prueba a tokens emitidos para la aplicación de GitHub de Fly.io, pero no pudo determinar cómo se obtuvieron ni encontró pruebas de una intrusión en la infraestructura de Fly.io. Aikido Security observó similitudes con la campaña GhostAction de octubre, aunque considera probable que ambas operaciones fueran obra de actores diferentes.

Las empresas de seguridad recomendaron revocar los tokens comprometidos, rotar los secretos expuestos y revisar posibles cambios no autorizados en entornos cloud. Si el malware llegó a ejecutarse, las organizaciones deberían asumir que todos los secretos accesibles quedaron comprometidos. Fuente: SecurityWeek.