Una campaña con 4.837 cuentas robadas de GitHub siembra un ladrón de secretos en miles de repositorios

El último ataque a la cadena de suministro del software empieza con credenciales robadas y un pull request de aspecto inofensivo. Desde el 10 de noviembre, una campaña que la firma Aikido sigue como wfx-loot ha usado 4.837 cuentas de GitHub comprometidas para abrir pull requests de sondeo en 61.764 repositorios; en al menos 1.835 de ellos el código malicioso llegó a ejecutarse y los secretos quedaron expuestos.

Según el análisis de Aikido, el sondeo es un pull request titulado «docs: dependency audit notes» desde una rama wfx-docs, que confirma al atacante que la credencial robada tiene permiso de escritura. Después llega la carga útil, un script de unas 1.500 líneas con tres variantes de entrega: inyección en un flujo de GitHub Actions existente, un gancho de postinstalación para npm o un flujo nuevo en una rama desechable. El script recoge los secretos del repositorio y las credenciales cloud disponibles, los exfiltra y borra la ejecución y sus registros en menos de un minuto; a menudo el único rastro es un número de ejecución que falta en el historial.

Las cifras piden precisión. Los 61.764 repositorios son sondeos, y GitHub contabilizó 61.839 de esos pull requests en poco más de un día. Las ejecuciones confirmadas con robo de credenciales son 1.835, aunque Aikido admite que la cifra real puede ser mayor porque los registros fueron borrados. El 92% de los pull requests sigue abierto, señal de que la mayoría de propietarios aún no se ha enterado, y 10.431 de ellos se abrieron en repositorios que la cuenta comprometida no poseía. Hay además unos 50 usuarios comprometidos que publican paquetes en npm, Go, Packagist, PyPI o crates; la campaña ya coló el payload en el paquete de Packagist digitalelvis/neuronai-studio y en dos etiquetas del módulo de Go onuragtas/docker-env.

El golpe aterriza en terreno conocido. Hace apenas unos días contábamos cómo miles de secretos quedaban expuestos en GitHub por culpa de cómo Claude Code guarda los comandos aprobados, y los Agent Skill falsos ya demostraron que la automatización de la plataforma es una superficie de ataque en sí misma. Los ataques a la cadena de suministro del software llevan años anunciándose; aquí tienen una de sus formas más limpias.

La lección incómoda es dónde está la confianza: un pull request que parece mantenimiento de documentación activa una maquinaria de robo con borrado de huellas incluido, y la mayoría de los afectados todavía no lo sabe. Para cualquier equipo con integración continua en GitHub, los secretos de sus flujos valen hoy lo mismo que la contraseña maestra de su nube, y conviene tratarlos con el mismo recelo.