AnswersPublished25 sources
wfx-loot: Stjålne GitHub-konti blev brugt til at ramme 61.764 kodearkiver
wfx loot brugte stjålne GitHub adgange – ikke en sårbarhed i GitHub Actions – til at teste skriveadgang i 61.764 kodearkiver. Aikidos offentliggjorte opgørelse siger, at hemmeligheder blev stjålet fra mindst 1.835 arkiver; nogle samtidige rapporter nævner det lavere tal 1.806.
Udgivet afRedigeret med GPT-6 LunaBilleder genereret med GPT Image 2
Research answer
Key takeaways
- wfx loot brugte stjålne GitHub adgange – ikke en sårbarhed i GitHub Actions – til at teste skriveadgang i 61.764 kodearkiver.
- Aikidos offentliggjorte opgørelse siger, at hemmeligheder blev stjålet fra mindst 1.835 arkiver; nogle samtidige rapporter nævner det lavere tal 1.806.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the wfx-loot GitHub credential-theft campaign reported by Aikido Security, when did it begin and how long was it active, how did at. Article summary: wfx-loot was a mass CI credential-theft campaign that used valid stolen GitHub credentials—not a GitHub Actions vulnerability—to place secret-stealing code in repositories the compromised accounts could write to. Aikido . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
wfx-loot var en kampagne for at stjæle adgangsoplysninger, hvor kompromitterede GitHub-konti blev brugt til at undersøge kodearkiver og – når kontiene havde skriverettigheder – indsætte kode, der kunne stjæle hemmeligheder fra miljøer til kontinuerlig integration (CI). Aikido opgjorde 4.837 kompromitterede konti og pull requests i 61.764 arkiver. Ifølge virksomhedens offentliggjorte tal blev koden kørt, og adgangsoplysninger blev sendt ud fra mindst 1.835 arkiver.4
9
Hvornår foregik wfx-loot-kampagnen?
Aktiviteten begyndte omkring 10. november 2026 kl. 12.45 UTC. En rapport angiver, at perioden med probe-pull requests fortsatte til 11. november kl. 15.00 UTC – cirka 26 timer og 15 minutter.6
7 Det beskriver det observerede tidsrum for sonderingerne, ikke en bekræftelse på, at al aktivitet med skadeprogrammet eller senere brug af stjålne adgangsoplysninger ophørte dér.
Kampagnens hovedtal dækker forskellige trin:
- 4.837 konti blev meldt kompromitteret.
- 61.764 kodearkiver modtog probe-pull requests. Det er antallet af arkiver, der blev undersøgt – ikke antallet, hvor skadeprogrammet med sikkerhed blev kørt.
- Mindst 1.835 arkiver indgår i Aikidos offentliggjorte opgørelse over kørsler af skadeprogrammet og stjålne adgangsoplysninger.
9
Nogle samtidige rapporter nævnte det lavere tal 1.806.6
10 De tilgængelige rapporter forklarer ikke forskellen, så tallene bør betragtes som særskilte opgørelser frem for lægges sammen. Det foreliggende kildemateriale underbygger heller ikke den senere påstand om cirka 1.970 bekræftede offentlige tilfælde blandt mere end 66.000 mål.
Sådan testede angriberne adgangen
Angriberne oprettede pull requests med titlen docs: dependency audit notes fra grene med navnet wfx-docs. De fungerede som sonder: Formålet var at teste, om en kompromitteret konto havde skriverettigheder til det pågældende arkiv.3
4
9
Når adgangen tillod det, indsatte angriberne en payload, der stjal hemmeligheder fra CI-miljøet. Kampagnen byggede på gyldige, stjålne adgangsoplysninger – ikke på en sårbarhed i GitHub Actions.4
9 OX Security beskrev skadeprogrammet som ét shell-script på omkring 1.500 linjer.
31
Rapporter beskriver, at ondsindrede ændringer og workflow-logfiler i nogle tilfælde blev fjernet, hvilket gjorde efterforskningen vanskeligere.1
6 De tilgængelige oplysninger understøtter det overordnede mønster med sondering, afvikling af payload og oprydning. De fastslår ikke, at alle rapporterede udrulningsmetoder eller commit-beskeder blev brugt ved hver infektion.
Hvad forsøgte skadeprogrammet at stjæle?
Det dokumenterede mål var adgangsoplysninger, som CI-jobs kunne nå – herunder GitHub Actions-hemmeligheder og cloud-adgangsoplysninger. Rapporter beskriver også forsøg på at få fat i tokens til AI-tjenester.3
9 OX Securitys analyse nævner blandt andet adgangsoplysninger til AWS, Azure og Google Cloud.
31 Andre rapporter siger, at skadeprogrammet kunne lede efter hemmeligheder i runner-processers hukommelse, men de foreliggende uddrag viser ikke, hvor ofte den metode virkede.
17
29
En sammenfattet rapport beskriver forsøg på at udvide adgangen gennem ændringer i AWS-tillidspolitikker og fødererede legitimationsoplysninger i Azure.5 Betragt det som rapporteret adfærd, ikke som bevis for, at hvert berørt kodearkiv – eller hver cloud-konto – blev ændret. Dokumentationen handler om tyveri af adgangsoplysninger; den viser ikke, at kildekode eller kundedatabaser blev stjålet.
9
15
Hvad viser rapporternes signaler – og hvad viser de ikke?
En rapport oplyste, at 92 % af de 10.431 probe-pull requests, der blev sendt via samarbejds- eller organisationsadgang, stadig var åbne, da de blev undersøgt.10
19 Det tyder på, at mange sonderinger endnu ikke var blevet håndteret på det tidspunkt. Det beviser ikke, at ingen arkivejere eller sikkerhedsteams havde opdaget dem. Procenten gælder ikke nødvendigvis alle pull requests.
En vejledning til efterforskning rapporterede også 173 probe-pull requests fra 19 konti, der brugte tokens via Fly.io GitHub App. Det viser ikke i sig selv, at Fly.ios infrastruktur blev kompromitteret, eller at payloaden blev kørt i hvert arkiv, som disse tokens nåede.37
Hvad bør sikkerhedsteams undersøge?
Hvis jeres organisation kan være berørt, bør I skelne mellem, om et arkiv blev undersøgt, om payloaden blev indsat, om den blev kørt, og om adgangsoplysninger blev stjålet. Det er forskellige fund.
- Søg efter tegn på sondering. Gennemgå pull requests med titlen
docs: dependency audit notesog grene med navnetwfx-docsi arkiver, som jeres konti kunne skrive til. - Gennemgå CI- og audit-logfiler. Tjek workflow-kørsler, commits, grenaktivitet og tilgængelige cloud-logfiler. Manglende løbenumre for workflow-kørsler kan være et spor, fordi rapporter beskriver slettede kørsler og logfiler. Et hul i nummereringen beviser dog ikke i sig selv, at et arkiv er kompromitteret.
1
24
- Tilbagekald mistænkelig adgang. Tilbagekald GitHub-tokens, der kan være kompromitteret, og gennemgå konto-, samarbejdspartner- og GitHub App-adgang.
- Skift eksponerede hemmeligheder bredt. Hvis payloaden blev kørt, bør hemmeligheder og cloud-roller, som workflowet kunne tilgå, betragtes som potentielt kompromitterede – ikke kun de adgangsoplysninger, der kan ses i bevarede logfiler.
3
- Undersøg vedvarende cloud-adgang. Se efter uventede ændringer i AWS-tillidspolitikker og Azure-applikationer eller fødererede legitimationsoplysninger samt uautoriserede nøgler og andre adgangsændringer.
5
- Sikr dokumentationen. Gem resterende audit-oplysninger og logfiler, før I rydder op, og noter, hvilket trin i angrebet der faktisk er dokumentation for.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "wfx-loot: Stjålne GitHub-konti blev brugt til at ramme 61.764 kodearkiver"?
wfx loot brugte stjålne GitHub adgange – ikke en sårbarhed i GitHub Actions – til at teste skriveadgang i 61.764 kodearkiver.
What are the key points to validate first?
wfx loot brugte stjålne GitHub adgange – ikke en sårbarhed i GitHub Actions – til at teste skriveadgang i 61.764 kodearkiver. Aikidos offentliggjorte opgørelse siger, at hemmeligheder blev stjålet fra mindst 1.835 arkiver; nogle samtidige rapporter nævner det lavere tal 1.806.
Sources
bleepingcomputer.comHackers compromise 4,800 GitHub accounts to steal cloud credentials
al-ice.aiProbe, Payload, Vanish: 4,837 Hijacked GitHub Accounts Fed a CI Secret Stealer Across 61,764 Repositories
unbiasedheadlines.comStolen Logins for 4,837 GitHub Accounts Used to Run Secret Stealer in at Least 1,806 Repositories, Researchers Say