Secret-Stealer infiltriert tausende GitHub-Repositories

Secret-Stealer: Angreifer nutzen gekapunte GitHub-Token, um Schadcode in CI/CD-Pipelines einzuschleusern

Kampagne mit über 61.000 betroffenen Repositories

Mit gestohlenen Zugriffstoken für GitHub-Konten schleusen unbekannte Angreifer seit Dienstag Schadcode in Repositories ein, der die Secrets aus GitHub Actions und Cloudzugangsdaten abgreift.

Das Sicherheitsunternehmen Aikido zählt im Rahmen der auf den Namen wfx-loot getauften Kampagne bereits 4.837 übernommene Konten, über die die Angreifer 61.764 Repositories attackiert haben. In mehr als 1.800 Fällen sollen Workflows den Schadcode bereits ausgeführt haben.

Wie die Angreifer die Tokens stehlen

Die Angreifer nutzen anscheinend keine Lücke in GitHub Actions aus, sondern missbrauchen die Schreibrechte gestohlener Token. Woher diese stammen, ist nur teilweise geklärt. Laut Fly.io wurden Token von GitHub-Apps missbraucht, die aus öffentlich erreichbaren .git/config-Dateien extrahiert wurden; der Hoster hat diese widerrufen.

Das eingeschleinste Skript fischt insbesondere die Secrets aus GitHub Actions ab sowie Zugangsdaten für Cloud-Dienste wie AWS, Azure und Google Cloud, Container-Umgebungen, Paketregister und SSH-Schlüssel. Haben die Bedrohungsakteure erst einmal Zugang zu Sitzungen bei AWS, öffnet das Skript eine IAM-Rolle für jedes AWS-Konto, in Azure trägt es zusätzliche Anmeldewege für Workflows aus dem kompromittierten Repository ein.

Spuren verwischen binnen Minuten

Die Angreifer lassen ihren Opfern kaum Zeit zu reagieren. Sie öffnen zunächst einen Pull Request, um die Schreibrechte zu bestätigen. Dann folgt der eigentliche Schadcode: ein Shellskript, das die Angreifer in einen bestehenden Workflow einfügen, als neuen Workflow ablegen oder in npm-Projekten bei jeder Installation starten lassen. Meist schon innerhalb einer Minute machen die Angreifer die Änderungen rückgängig und löschen den Workflow-Lauf samt Logs.

Quellen

• Aikido: Compromised GitHub accounts push CI secret stealer
• SafeDep: GitHub Actions wfx-credential-stealer
• Fly.io: Security GitHub tokens exposed by apps

13.11.2026, heise online

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.