AnswersPublished25 sources
איך wfx-loot ניצלה חשבונות GitHub גנובים כדי לגנוב סודות CI
wfx loot השתמשה בפרטי גישה גנובים ל־GitHub — ולא בפרצה ב־GitHub Actions — כדי לבדוק הרשאות כתיבה ב־61,764 מאגרים. הספירה שפרסמה Aikido היא לפחות 1,835 מאגרים שנפגעו; בחלק מהדיווחים הופיעה קודם לכן הספירה הנמוכה יותר, 1,806.
פורסם על ידינערך באמצעות GPT-6 Lunaהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- wfx loot השתמשה בפרטי גישה גנובים ל־GitHub — ולא בפרצה ב־GitHub Actions — כדי לבדוק הרשאות כתיבה ב־61,764 מאגרים.
- הספירה שפרסמה Aikido היא לפחות 1,835 מאגרים שנפגעו; בחלק מהדיווחים הופיעה קודם לכן הספירה הנמוכה יותר, 1,806.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the wfx-loot GitHub credential-theft campaign reported by Aikido Security, when did it begin and how long was it active, how did at. Article summary: wfx-loot was a mass CI credential-theft campaign that used valid stolen GitHub credentials—not a GitHub Actions vulnerability—to place secret-stealing code in repositories the compromised accounts could write to. Aikido . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
wfx-loot הייתה מתקפה לגניבת פרטי גישה, שניצלה חשבונות GitHub שנפרצו כדי לבדוק מאגרים, ובמקומות שבהם לחשבונות הייתה הרשאת כתיבה — להחדיר קוד שנועד לגנוב סודות מסביבות CI (אינטגרציה רציפה). לפי Aikido, נפרצו 4,837 חשבונות, והוגשו בקשות מיזוג ב־61,764 מאגרים. בספירה שפרסמה החברה, הקוד הזדוני הופעל ופרטי גישה הוצאו מלפחות 1,835 מאגרים.4
9
מתי התרחשה מתקפת wfx-loot וכמה זמן נמשכה?
הפעילות החלה בסביבות 12:45 UTC ב־10 בנובמבר 2026. לפי אחד הדיווחים, חלון בקשות המיזוג ששימשו לבדיקה נמשך עד 15:00 UTC ב־11 בנובמבר — כ־26 שעות ורבע.6
7 מדובר בחלון הזמן שנצפה לבדיקות, ולא באישור שכל פעילות הקוד הזדוני או השימוש המאוחר יותר בפרטי הגישה הגנובים הסתיימו אז.
המספרים שפורסמו מתייחסים לשלבים שונים במתקפה:
- 4,837 חשבונות דווחו כחשבונות שנפרצו.
- 61,764 מאגרים קיבלו בקשות מיזוג שנועדו לבדוק גישה. המספר הזה מתאר מאגרים שנבדקו, לא מאגרים שבהם ידוע שהקוד הזדוני הופעל.
- לפי הספירה שפרסמה Aikido, לפחות 1,835 מאגרים היו כאלה שבהם הקוד הופעל ופרטי גישה הוצאו.
9
בחלק מהדיווחים מאותה תקופה הופיע המספר הנמוך יותר 1,806.6
10 הדיווחים הזמינים אינם מסבירים את ההבדל, ולכן נכון להתייחס אליהם כספירות נפרדות שדווחו — ולא לחבר ביניהן. גם הטענה המאוחרת יותר לכ־1,970 מקרים ציבוריים שאומתו מתוך יותר מ־66,000 יעדים אינה מבוססת בחומר המקור שסופק.
כך בדקו התוקפים את ההרשאות
התוקפים פתחו בקשות מיזוג שכותרתן docs: dependency audit notes מענפים בשם wfx-docs. הבקשות שימשו כבדיקה: הן אפשרו לוודא אם לחשבון שנפרץ יש הרשאת כתיבה במאגר היעד.3
4
9
כאשר ההרשאות אפשרו זאת, הושתל קוד לגניבת סודות בסביבת ה־CI. המתקפה נשענה על פרטי גישה גנובים ותקפים, ולא על חולשה ב־GitHub Actions.4
9 לפי OX Security, הנוזקה הייתה סקריפט shell יחיד באורך של כ־1,500 שורות.
31
דיווחים מתארים מקרים שבהם שינויים זדוניים ויומני ריצה של תהליכי העבודה נמחקו, דבר שהקשה על חקירת האירוע.1
6 המידע הזמין תומך בדפוס הכללי של בדיקת גישה, הפעלת קוד זדוני וניקוי עקבות; הוא אינו מוכיח שכל שיטת הפצה או כל הודעת commit שדווחה שימשו בכל הדבקה.
למה כוון הקוד הזדוני
המטרה המתועדת הייתה לאסוף פרטי גישה שהיו זמינים לעבודות CI, ובהם סודות של GitHub Actions ופרטי גישה לשירותי ענן. בדיווחים תוארו גם ניסיונות להשיג אסימוני גישה לשירותי AI.3
9 ניתוח של OX Security מונה בין היעדים פרטי גישה ל־AWS, ל־Azure ול־Google Cloud.
31 דיווח נפרד אומר שהנוזקה יכלה לחפש סודות בזיכרון התהליכים של סביבת הריצה; הקטעים שסופקו אינם מראים באיזו תדירות השיטה הזאת הצליחה.
17
29
סיכום שאותר מתאר ניסיונות להרחיב את הגישה באמצעות שינויים במדיניות אמון של AWS ואישורים מאוחדים (federated credentials) ב־Azure.5 יש להתייחס לפרטים האלה כהתנהגות שדווחה, ולא כהוכחה שכל מאגר שנפגע — או כל חשבון ענן — שונה. המידע מתמקד בגניבת פרטי גישה; הוא אינו מוכיח שנגנבו קוד המקור או מאגרי נתונים של לקוחות.
9
15
מה מלמדים הסימנים שדווחו — ומה לא
לפי דיווח אחד, בזמן הבדיקה 92% מתוך 10,431 בקשות המיזוג לבדיקה שהוגשו דרך הרשאות של משתפי פעולה או ארגונים עדיין היו פתוחות.10
19 הדבר מצביע על כך שרבות מהבקשות טרם טופלו באותו מועד, אך אינו מוכיח שבעלי המאגרים או צוותי האבטחה לא זיהו אותן. האחוז מתייחס לקבוצה המסוימת הזאת, ולא לכל בקשות המיזוג.
מדריך חקירה דיווח גם על 173 בקשות מיזוג לבדיקה מ־19 חשבונות, שהשתמשו באסימונים דרך אפליקציית GitHub של Fly.io. הממצא הזה לבדו אינו מעיד שהתשתית של Fly.io נפרצה, וגם לא שהקוד הזדוני הופעל בכל מאגר שהגישה אליו הושגה באמצעות אותם אסימונים.37
מה כדאי לבדוק
אם ייתכן שהארגון שלכם נחשף, חשוב להבחין בין מאגר שנבדק, קוד זדוני שהושתל, קוד שהופעל ופרטי גישה שהוצאו. אלה ממצאים שונים, ולא שלבים שאפשר להתייחס אליהם כאילו הם זהים.
- חפשו סימנים לבדיקת גישה. בדקו בקשות מיזוג שכותרתן
docs: dependency audit notesוענפים בשםwfx-docsבמאגרים שלחשבונות שלכם הייתה בהם הרשאת כתיבה. - בדקו ריצות CI ורישומי ביקורת. עברו על ריצות תהליכי העבודה, commits, פעילות בענפים ויומני ענן זמינים. מספרי ריצה חסרים עשויים להיות כיוון לבדיקה, משום שדווח על מחיקת ריצות ויומנים; פער בפני עצמו אינו מוכיח שנפרצתם.
1
24
- בטלו גישה חשודה. בטלו אסימוני GitHub שנחשדים כפרוצים ובדקו את הרשאות החשבונות, משתפי הפעולה ואפליקציות GitHub.
- החליפו סודות חשופים באופן רחב. אם הקוד הזדוני הופעל, התייחסו לכל הסודות והתפקידים בענן שהיו נגישים לאותה ריצת עבודה כאילו נחשפו — ולא רק לפרטי גישה שמופיעים ביומנים ששרדו.
3
- בדקו אפשרות להתמדה בענן. חפשו שינויים לא צפויים במדיניות האמון של AWS ובאפליקציות או באישורים המאוחדים של Azure, וכן מפתחות לא מורשים או שינויים אחרים בהרשאות.
5
- שמרו ראיות. לפני ביצוע פעולות ניקוי, שמרו יומני ביקורת ונתונים שנותרו זמינים. תעדו גם באיזה שלב של המתקפה תומכות הראיות.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "איך wfx-loot ניצלה חשבונות GitHub גנובים כדי לגנוב סודות CI"?
wfx loot השתמשה בפרטי גישה גנובים ל־GitHub — ולא בפרצה ב־GitHub Actions — כדי לבדוק הרשאות כתיבה ב־61,764 מאגרים.
What are the key points to validate first?
wfx loot השתמשה בפרטי גישה גנובים ל־GitHub — ולא בפרצה ב־GitHub Actions — כדי לבדוק הרשאות כתיבה ב־61,764 מאגרים. הספירה שפרסמה Aikido היא לפחות 1,835 מאגרים שנפגעו; בחלק מהדיווחים הופיעה קודם לכן הספירה הנמוכה יותר, 1,806.
Sources
bleepingcomputer.comHackers compromise 4,800 GitHub accounts to steal cloud credentials
al-ice.aiProbe, Payload, Vanish: 4,837 Hijacked GitHub Accounts Fed a CI Secret Stealer Across 61,764 Repositories
unbiasedheadlines.comStolen Logins for 4,837 GitHub Accounts Used to Run Secret Stealer in at Least 1,806 Repositories, Researchers Say