Por dentro do ataque de supply chain “Megalodon” que inundou o GitHub com commits maliciosos
Em 18 de maio de 2026, a campanha automatizada “Megalodon” enviou 5.718 commits maliciosos para 5.561 repositórios do GitHub em cerca de seis horas ao inserir workflows comprometidos do GitHub Actions destinados a rou... Os atacantes usaram contas descartáveis que imitavam bots de automação, metadados de commit fals...
What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits intoThe “Megalodon” campaign injected thousands of malicious commits and poisoned CI workflows across GitHub repositories in a matter of hours.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What happened in the “Megalodon” GitHub supply chain attack on May 18, 2026, how were attackers able to inject 5,700+ malicious commits into. Article summary: “Megalodon” was a fast, automated GitHub supply-chain campaign on May 18, 2026 that pushed 5,718 malicious commits into 5,561 public repositories in roughly six hours by slipping poisoned GitHub Actions workflows into re. Topic tags: general, general web, documentation, user generated. Reference image context from search candidates: Reference image 1: visual subject "On May 18, 2026, an automated campaign codenamed `megalodon` pushed 5,718 malicious commits to 5,561 GitHub repositories in a six-hour window. Using throwaway accounts and forged a" source context "Megalodon: Mass GitHub Repo Backdooring via CI Workflows" Reference image 2: visual subject "A sophis
openai.com
Um ataque automatizado em larga escala contra pipelines de CI
Em 18 de maio de 2026, pesquisadores de segurança revelaram um ataque de cadeia de suprimentos de software apelidado de “Megalodon”. Em aproximadamente seis horas, invasores enviaram 5.718 commits maliciosos para 5.561 repositórios do GitHub, tornando‑se uma das maiores campanhas automatizadas já registradas de envenenamento de repositórios na plataforma.
Em vez de alterar diretamente o código das aplicações, os atacantes inseriram arquivos de workflow do GitHub Actions maliciosos. Esses workflows são executados automaticamente dentro de pipelines de CI/CD (integração e entrega contínuas) — sistemas que compilam, testam e implantam software.
Quando acionados, os workflows contaminados executavam scripts destinados a coletar segredos e credenciais do ambiente de execução.
A atividade ocorreu aproximadamente entre 11:36 e 17:48 UTC, indicando um sistema altamente automatizado projetado para comprometer milhares de repositórios antes que os mantenedores percebessem as alterações.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
Câu trả lời ngắn gọn cho "Por dentro do ataque de supply chain “Megalodon” que inundou o GitHub com commits maliciosos" là gì?
Em 18 de maio de 2026, a campanha automatizada “Megalodon” enviou 5.718 commits maliciosos para 5.561 repositórios do GitHub em cerca de seis horas ao inserir workflows comprometidos do GitHub Actions destinados a rou...
Những điểm chính cần xác nhận đầu tiên là gì?
Em 18 de maio de 2026, a campanha automatizada “Megalodon” enviou 5.718 commits maliciosos para 5.561 repositórios do GitHub em cerca de seis horas ao inserir workflows comprometidos do GitHub Actions destinados a rou... Os atacantes usaram contas descartáveis que imitavam bots de automação, metadados de commit falsificados e repositórios com proteção de branch fraca para fazer as alterações parecerem manutenção rotineira de CI.
Tôi nên làm gì tiếp theo trong thực tế?
O incidente ocorreu próximo a outro problema de segurança no GitHub envolvendo uma extensão maliciosa do VS Code que expôs cerca de 3.800 repositórios internos, embora não haja confirmação pública de ligação direta en...
Como os atacantes conseguiram inserir milhares de commits
A campanha combinou automação com técnicas de camuflagem social para fazer os commits parecerem atualizações normais de infraestrutura.
Bots falsos de CI e contas descartáveis
Os invasores criaram contas temporárias do GitHub com nomes aleatórios e identidades que imitavam ferramentas de automação, como:
build-bot
auto-ci
ci-bot
pipeline-bot
Isso fazia os commits parecerem gerados por sistemas automatizados legítimos em vez de por um atacante humano.
Metadados de commit falsificados
Os dados de autoria e as mensagens de commit foram cuidadosamente elaborados para parecerem legítimos — muitas vezes simulando pequenas atualizações de configuração de CI ou ajustes de workflow. Assim, os commits se misturavam ao histórico normal do projeto e levantavam menos suspeitas.
Exploração de proteção fraca de branch
A campanha focou em repositórios com regras de proteção de branch fracas ou inexistentes. Sem exigência de revisão por pull request ou restrições de quem pode modificar workflows, os atacantes conseguiram enviar alterações diretamente para a branch principal.
Workflows do GitHub Actions envenenados
Cada commit malicioso adicionava um workflow do GitHub Actions contendo um payload Bash codificado em Base64. Quando o pipeline de CI era executado, o script rodava dentro do runner do GitHub Actions e começava a coletar credenciais e segredos do ambiente.
Como os pipelines não são executados continuamente, o ataque muitas vezes permanecia oculto até a próxima execução automática do workflow.
O que o malware tentava roubar
O script codificado em Base64 incorporado nos workflows foi projetado para coletar dados sensíveis do ambiente de CI e enviá‑los para infraestrutura controlada pelos atacantes.
Entre os principais alvos estavam:
variáveis de ambiente do CI/CD
credenciais de provedores de nuvem (AWS, Google Cloud e Azure)
chaves privadas SSH
tokens de API e segredos de aplicações
tokens OIDC do GitHub Actions
outras credenciais de configuração disponíveis no runner
O malware coletava variáveis de ambiente, informações do sistema e credenciais acessíveis ao processo de build antes de enviá‑las para um servidor de comando e controle.
Como pipelines de CI frequentemente armazenam credenciais de implantação, comprometer o ambiente de build pode abrir portas para infraestrutura em nuvem, registros de pacotes e sistemas de produção.
Por que o roubo de tokens OIDC é especialmente perigoso
Um dos objetivos mais importantes do payload era capturar tokens OIDC (OpenID Connect) do GitHub Actions.
Pipelines modernos de CI/CD utilizam federação de identidade OIDC para autenticar workflows diretamente em provedores de nuvem sem armazenar chaves de acesso permanentes. Em vez disso, o pipeline solicita um token de identidade temporário que pode ser trocado por credenciais de acesso de curta duração.
Essa abordagem aumenta a segurança ao eliminar chaves estáticas, mas cria um novo risco: se um atacante roubar o token durante a execução do pipeline, ele pode se passar temporariamente pelo workflow legítimo.
Como esses tokens são confiáveis para os sistemas de identidade de provedores como AWS, Google Cloud ou Microsoft Azure, eles podem ser trocados por acesso temporário com as mesmas permissões do pipeline de implantação.
Na prática, isso pode permitir:
acesso à infraestrutura em nuvem
sequestro de pipelines de deploy
extração de segredos armazenados em serviços de nuvem
Mesmo com validade curta, o nível de permissão associado aos tokens pode torná‑los extremamente valiosos para atacantes.
Qual foi a importância do incidente
A campanha Megalodon mostra uma mudança importante nos ataques de supply chain: em vez de modificar diretamente o código de aplicações, os invasores estão mirando a infraestrutura de automação de desenvolvimento.
Ao comprometer workflows de CI, um invasor pode:
roubar credenciais automaticamente quando pipelines são executados
acessar ambientes de nuvem e sistemas de implantação
permanecer escondido dentro de mudanças aparentemente rotineiras de automação
Como milhares de projetos dependem de pipelines com permissões elevadas, uma única modificação em workflow pode expor segredos que impactam vários sistemas downstream.
O ataque Megalodon tem relação com a invasão envolvendo o VS Code?
Na mesma época, o GitHub divulgou outro incidente de segurança separado envolvendo uma extensão maliciosa do Visual Studio Code instalada em um dispositivo de funcionário.
Essa extensão contaminada permitiu que invasores acessassem aproximadamente 3.800 repositórios internos do GitHub antes que o problema fosse contido.
A invasão foi atribuída ao comprometimento do ambiente de desenvolvimento do funcionário, onde a extensão trojanizada coletou credenciais e tokens.
Algumas análises apontaram semelhanças de timing e técnicas com outros ataques à cadeia de suprimentos de ferramentas de desenvolvimento. Ainda assim, não há evidência pública confirmando que a violação interna do GitHub tenha causado diretamente a campanha Megalodon.
Por enquanto, os dois episódios são considerados incidentes distintos, mas próximos no tempo, que ilustram os riscos crescentes na segurança do ecossistema de desenvolvimento.
A lição para a segurança de CI/CD
O caso Megalodon mostra como a automação pode escalar rapidamente um ataque de supply chain. Usando bots falsos, commits automatizados e workflows contaminados, os invasores transformaram pipelines de build em um mecanismo de coleta de credenciais.
O incidente reforçou algumas prioridades de defesa para equipes de software:
regras rigorosas de proteção de branch
revisões obrigatórias para mudanças em workflows
permissões mínimas para jobs de CI
monitoramento de contas de automação e alterações em pipelines
À medida que pipelines de desenvolvimento passam a controlar deploys em nuvem e infraestrutura de produção, a segurança de workflows de CI/CD tornou‑se uma parte crítica da defesa da cadeia de suprimentos de software.
cybersecuritynews.comMegalodon Malware Compromised 5,500+ GitHub Repos Within 6 ...
