AnswersPublished25 sources
Çalınan GitHub hesapları 61.764 depoda CI sırlarını nasıl hedef aldı?
wfx loot, GitHub Actions’taki bir açıktan değil, çalınmış GitHub kimlik bilgilerinden yararlanarak 61.764 depoda yazma yetkisini sınadı.[4][9] Aikido’nun yayımladığı sayımda en az 1.835 depoda yükün çalıştığı ve kimlik bilgilerinin dışarı aktarıldığı belirtiliyor; bazı haberlerde daha önce 1.806 sayısı verilmişti.[6...
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- wfx loot, GitHub Actions’taki bir açıktan değil, çalınmış GitHub kimlik bilgilerinden yararlanarak 61.764 depoda yazma yetkisini sınadı.[4][9]
- Aikido’nun yayımladığı sayımda en az 1.835 depoda yükün çalıştığı ve kimlik bilgilerinin dışarı aktarıldığı belirtiliyor; bazı haberlerde daha önce 1.806 sayısı verilmişti.[6][9][10]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the wfx-loot GitHub credential-theft campaign reported by Aikido Security, when did it begin and how long was it active, how did at. Article summary: wfx-loot was a mass CI credential-theft campaign that used valid stolen GitHub credentials—not a GitHub Actions vulnerability—to place secret-stealing code in repositories the compromised accounts could write to. Aikido . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
wfx-loot, ele geçirilmiş GitHub hesaplarıyla depoları yoklayan ve yazma yetkisi bulunan yerlerde sürekli entegrasyon (CI) ortamlarındaki sırları çalmaya yönelik kod ekleyen bir kimlik bilgisi hırsızlığı kampanyasıydı. Aikido, 4.837 hesabın 61.764 depoda deneme amaçlı pull request açtığını bildirdi. Şirketin yayımladığı sayımda, yükün en az 1.835 depoda çalıştığı ve kimlik bilgilerinin dışarı aktarıldığı belirtildi.4
9
wfx-loot ne zaman gerçekleşti, ne kadar sürdü?
Faaliyet 10 Kasım 2026’da yaklaşık 12.45 UTC’de başladı. Bir rapora göre deneme pull request’lerinin görüldüğü dönem 11 Kasım 15.00 UTC’ye kadar sürdü; bu yaklaşık 26 saat 15 dakikalık bir aralık demek.6
7 Bu, gözlemlenen yoklama dönemi. Yükün çalışmasının veya çalınan kimlik bilgilerinin sonradan kullanılmasının o saatte durduğunu doğrulamıyor.
Kampanyaya ilişkin sayılar, saldırının farklı aşamalarını anlatıyor:
- 4.837 hesabın ele geçirildiği bildirildi.
- 61.764 depo deneme pull request’i aldı. Bu sayı, saldırganların yokladığı depoları gösteriyor; zararlı yazılımın hepsinde çalıştığı anlamına gelmiyor.
- Aikido’nun yayımladığı sayımda, yükün çalıştığı ve kimlik bilgilerinin dışarı aktarıldığı en az 1.835 depo yer alıyor.
9
Bazı eşzamanlı haberlerde daha düşük olan 1.806 sayısı verildi.6
10 Mevcut haberler bu farkın nedenini açıklamıyor; dolayısıyla bu sayıları tek bir toplam gibi birleştirmek yerine ayrı raporlanmış sayımlar olarak değerlendirmek gerekiyor. Sağlanan haberler, 66 binden fazla hedef arasından yaklaşık 1.970’inin doğrulanmış kamuya açık vaka olduğu yönündeki sonraki iddiayı da desteklemiyor.
Saldırganlar erişimi nasıl sınadı?
Saldırganlar, wfx-docs adlı dallardan docs: dependency audit notes başlıklı pull request’ler açtı. Bu istekler, ele geçirilmiş hesabın hedef depoda değişiklik yapma yetkisi olup olmadığını sınayan yoklamalar işlevi gördü.3
4
9
Erişimin izin verdiği yerlerde CI ortamına sır çalan bir yük eklendi. Kampanya, GitHub Actions’taki bir açıktan değil, geçerli ancak çalınmış kimlik bilgilerinden yararlandı.4
9 OX Security, zararlı yazılımı yaklaşık 1.500 satırlık tek bir kabuk betiği olarak tanımladı.
31
Bazı vakalarda zararlı değişikliklerin ve iş akışı kayıtlarının silindiği bildirildi; bu da incelemeyi zorlaştırdı.1
6 Eldeki kanıtlar genel olarak yoklama, yükün çalıştırılması ve izlerin temizlenmesi örüntüsünü destekliyor. Ancak bildirilen her dağıtım yönteminin veya commit mesajının her bulaşmada kullanıldığını göstermiyor.
Yük hangi bilgileri hedefledi?
Belgelenen amaç, CI işlerinin erişebildiği kimlik bilgilerini toplamaktı. Bunlar arasında GitHub Actions sırları ve bulut kimlik bilgileri bulunuyordu; haberlerde yapay zekâ hizmetlerine ait belirteçlerin de hedeflendiği belirtiliyor.3
9 OX Security’nin analizinde AWS, Azure ve Google Cloud kimlik bilgileri de hedefler arasında sayılıyor.
31 Ayrı haberlerde zararlı yazılımın sırları bulmak için çalıştırıcı süreçlerinin belleğini tarayabildiği aktarılıyor; ancak sağlanan alıntılar bu yöntemin ne sıklıkla başarılı olduğunu ortaya koymuyor.
17
29
Derlenmiş bir özet, AWS güven politikalarında değişiklik yaparak ve Azure’a federasyon kimlik bilgileri ekleyerek erişimi genişletme girişimlerinden söz ediyor.5 Bu ayrıntılar raporlanmış davranışlar; etkilenen her depoda veya bulut hesabında değişiklik yapıldığının kanıtı değil. Eldeki kanıtlar kimlik bilgisi hırsızlığına işaret ediyor; kaynak kodunun ya da müşteri veritabanlarının çalındığını göstermiyor.
9
15
Raporlanan işaretler ne söylüyor, ne söylemiyor?
Bir haberde, işbirlikçi veya kuruluş erişimi üzerinden açılan 10.431 deneme pull request’inin yüzde 92’sinin kontrol sırasında hâlâ açık olduğu belirtildi.10
19 Bu, o ana kadar birçok isteğe işlem yapılmadığını düşündürüyor; ancak hiçbir depo sahibinin veya güvenlik ekibinin bunları fark etmediğini kanıtlamıyor. Yüzde, tüm pull request’ler için geçerliymiş gibi yorumlanmamalı.
Bir inceleme kılavuzu ayrıca Fly.io GitHub App üzerinden kullanıcı belirteçleri kullanan 19 hesaptan 173 deneme pull request’i bildiriyor. Bu gözlem tek başına Fly.io altyapısının ihlal edildiğini veya bu belirteçlerle ulaşılan her depoda zararlı yükün çalıştığını göstermiyor.37
Savunma ekipleri neleri kontrol etmeli?
Kuruluşunuzun etkilenmiş olabileceğini düşünüyorsanız, olay incelemesinde yoklandı, yük eklendi, yük çalıştı ve kimlik bilgileri dışarı aktarıldı aşamalarını birbirinden ayırın. Bunlar aynı bulgu değildir.
- Yoklama işaretlerini arayın. Hesaplarınızın yazma yetkisi bulunan depolarda
docs: dependency audit notesbaşlıklı pull request’leri vewfx-docsdallarını inceleyin. - CI ve denetim kayıtlarını gözden geçirin. İş akışı çalıştırmalarını, commit’leri, dal hareketlerini ve mevcut bulut günlüklerini kontrol edin. Raporlarda silinen çalıştırmalar ve kayıtlar anlatıldığı için eksik iş akışı numaraları inceleme ipucu olabilir; ancak tek başına ihlal kanıtı değildir.
1
24
- Etkilenmiş erişimi iptal edin. Ele geçirilmiş olabileceğinden şüphelenilen GitHub belirteçlerini iptal edin; hesap, işbirlikçi ve GitHub App erişimlerini gözden geçirin.
- Açığa çıkmış sırları kapsamlı biçimde yenileyin. Yük çalıştıysa, yalnızca geride kalan kayıtlarda görünenleri değil, o iş akışının erişebildiği sırları ve bulut rollerini de potansiyel olarak ele geçirilmiş kabul edin.
3
- Bulutta kalıcılık işaretlerini araştırın. Beklenmeyen AWS güven politikası değişikliklerini, Azure uygulama veya federasyon kimlik bilgisi değişikliklerini ve yetkisiz anahtarları ya da diğer erişim değişikliklerini inceleyin.
5
- Kanıtları koruyun. Temizlik adımlarına başlamadan önce kalan denetim kayıtlarını ve günlükleri saklayın; olay değerlendirmesinde hangi saldırı aşamasının kanıtlarla desteklendiğini kaydedin.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Çalınan GitHub hesapları 61.764 depoda CI sırlarını nasıl hedef aldı?"?
wfx loot, GitHub Actions’taki bir açıktan değil, çalınmış GitHub kimlik bilgilerinden yararlanarak 61.764 depoda yazma yetkisini sınadı.[4][9]
What are the key points to validate first?
wfx loot, GitHub Actions’taki bir açıktan değil, çalınmış GitHub kimlik bilgilerinden yararlanarak 61.764 depoda yazma yetkisini sınadı.[4][9] Aikido’nun yayımladığı sayımda en az 1.835 depoda yükün çalıştığı ve kimlik bilgilerinin dışarı aktarıldığı belirtiliyor; bazı haberlerde daha önce 1.806 sayısı verilmişti.[6][9][10]
Sources
bleepingcomputer.comHackers compromise 4,800 GitHub accounts to steal cloud credentials
al-ice.aiProbe, Payload, Vanish: 4,837 Hijacked GitHub Accounts Fed a CI Secret Stealer Across 61,764 Repositories
unbiasedheadlines.comStolen Logins for 4,837 GitHub Accounts Used to Run Secret Stealer in at Least 1,806 Repositories, Researchers Say