Une campagne GitHub vise 61 764 dépôts pour voler des secrets cloud

La campagne wfx-loot a commencé le 10 novembre 2026, en s’appuyant sur 4 837 comptes GitHub compromis pour tester l’accès en écriture à des dépôts et tenter d’y introduire des outils de vol de secrets. Selon les chercheurs d’Aikido cités par BleepingComputer (ouvre bleepingcomputer.com dans un nouvel onglet)Aller vers bleepingcomputer.com, au moins 1 835 cibles ont livré des secrets, parmi des dizaines de milliers de dépôts visés.

Des demandes de fusion pour tester les accès

L’opération a débuté vers 12 h 45 UTC, le 10 novembre. Les comptes compromis ont servi à sonder 61 764 dépôts pour y tester les droits d’écriture. Les attaquants y ont ouvert des demandes de fusion, ou pull requests, présentées comme des notes d’audit de dépendances. Cette étape leur permettait de vérifier si les comptes disposaient des droits nécessaires pour modifier le code.

BleepingComputer rapporte que 92 % de ces demandes étaient encore ouvertes au moment de l’analyse d’Aikido. Parmi les comptes compromis, certains étaient liés à des organisations du Fortune 100, à la General Services Administration américaine, au gouvernement français, à Nextcloud et à WebdriverIO. Environ 50 comptes auraient aussi eu des droits de publication sur des écosystèmes et registres de paquets, notamment npm, PyPI, Go, crates et Packagist.

Un script qui vise les secrets de développement et du cloud

Pour récupérer les données, les attaquants modifiaient un workflow GitHub Actions existant, en ajoutaient un sur une branche temporaire ou plaçaient un script d’installation npm. Le script malveillant, long d’environ 1 500 lignes, cherchait notamment les jetons GitHub Actions et les identifiants associés à AWS, Azure et Google Cloud.

Il ciblait aussi des accès liés à Git, SSH, GPG, Docker, Kubernetes, npm, PyPI, Vault et Terraform, ainsi que des services d’IA comme OpenAI, Anthropic, Gemini, Hugging Face, Cursor et GitHub Copilot. Les secrets pouvaient provenir de variables d’environnement, de fichiers .env, de clés privées, de l’historique du shell ou de fichiers du dépôt.

Le risque dépasse le vol de mots de passe. Selon Aikido, le script pouvait échanger des jetons OIDC GitHub contre des sessions cloud temporaires. Lorsque les permissions le permettaient, il pouvait aussi chercher à établir un accès persistant en créant des identifiants durables ou en modifiant des règles d’identité cloud. Les données collectées étaient regroupées puis envoyées vers des serveurs contrôlés par les attaquants.

Des traces à examiner dans les dépôts

Après l’exécution, les modifications étaient rapidement annulées et les journaux des workflows supprimés. Aikido indique que cette étape pouvait être achevée en moins d’une minute. Les chercheurs ont également repéré la publication automatisée de paquets compromis sur Packagist et dans un module Go ; ils estiment que ces publications résultaient probablement de l’automatisation, plutôt que de l’objectif principal de la campagne.

Aikido recommande aux responsables de dépôts de rechercher une branche nommée « wfx-docs », la demande de fusion de test et des lacunes dans la numérotation des exécutions de workflows. Si l’exécution du script est confirmée, les secrets et rôles cloud accessibles aux workflows concernés doivent être considérés comme compromis et renouvelés.