תוקף משתמש מאז יום שלישי בפרטי גישה גנובים של 4,837 חשבונות GitHub כדי לשתול קוד שגונב סודות במאגרים שאליהם לחשבונות יש הרשאת כתיבה, כך לפי חברת אבטחת התוכנה Aikido Security, שקוראת למבצע wfx-loot. כל תקיפה התחילה בבקשת משיכה תמימה למראה, שבדקה אם לחשבון יש הרשאת כתיבה; בקשות כאלה נפתחו ב-61,764 מאגרים. לפי Aikido, הקוד הזדוני רץ בפועל לפחות ב-1,806 מאגרים. חברת SafeDep ספרה 8,093 מאגרים ציבוריים שקיבלו קומיטים זדוניים.
הקוד נשתל בתהליכי GitHub Actions קיימים או חדשים, ובחלק מהמקרים כ-hook בהתקנת npm, שרץ גם על מחשב המפתח. הוא אוסף סודות של המאגר, טוקנים, מפתחות לשירותי AI ופרטי גישה ל-AWS, Azure ו-GCP, ובחלק מהמקרים יוצר גישה מתמשכת בחשבונות הענן ששורדת החלפת סיסמאות. אחרי ההרצה התוקף בדרך כלל ביטל את השינוי ומחק את רישומי ההרצה. לפי StepSecurity, התוקף לא מנצל באג ב-GitHub Actions אלא טוקנים תקפים של מפתחים ובוטים; איך הם הושגו עדיין לא ידוע.
מה לעשות: בעלי מאגרים שנפגעו צריכים לבטל את הטוקנים, מפתחות ה-SSH וההרשאות של החשבון שביצע את הקומיט, להפעיל אימות דו-שלבי ולהחליף כל סוד שהמאגר יכול לקרוא. מי שהריץ npm install על קומיט נגוע צריך להתייחס למחשב כפרוץ ולהחליף את המפתחות שעליו. כדאי גם לבדוק שינויים לא מורשים בחשבונות הענן.
