Ataque usou 4.837 contas GitHub para roubar segredos

Attacker Used 4,837 Hijacked GitHub Accounts to Run a CI Secret Stealer in 1,806+ Repositories

Atacante usou credenciais roubadas de 4.837 contas GitHub para plantar um secret stealer em workflows de CI, que rodou em ao menos 1.806 repositórios e visou segredos e credenciais de cloud.

Um atacante usou credenciais roubadas de 4.837 contas GitHub para abrir pull requests de teste (branch wfx-docs) e plantar um secret stealer que rodou em ao menos 1.806 repositórios; a origem das credenciais não foi divulgada. O stealer coleta GitHub Actions secrets e variables, GITHUB_TOKEN, OIDC e runtime tokens, chaves de AWS/Azure/GCP/Kubernetes/npm/PyPI/SSH, copia o repositório (últimos 100 commits) e artefatos, e exfiltra por HTTP POST para 194.150.166[.]244:8080/exfil, 18.143.168[.]96:8080/exfil, 153.75.82[.]159:8080 ou via Telegram; SHA-256 do script: 89695abb392d5cfd4972672961e644bb46baa98aa1ed7173c2a2816c762735cf. Importa para engenheiros: CI runs podem expor segredos persistentes (roles AWS, federated creds wfx-ci-* em Azure/Entra ID, AssumeRoleWithWebIdentity wfx-* em CloudTrail). Ações recomendadas: revogar tokens, OAuth grants, SSH keys e sessões dos autores, ativar 2FA, rotacionar TODOS os secrets/variáveis que o workflow pode ler, checar CreateAccessKey/UpdateAssumeRolePolicy e federated credentials wfx-ci-*; bloquear pacotes maliciosos (Packagist digitalelvis/neuronai-studio v3.14.3 — pin em v3.14.2 ou anterior) e tratar máquinas que instalaram esses artefatos como comprometidas.

• #github
• #ci
• #secrets
• #breach
• #cloud
• #supply-chain