Una campaña reportada centrada en tokens robados de GitHub y el stealer WFX está poniendo en riesgo aproximadamente 66.000 repositorios, según la cobertura de Cybernews. Los atacantes presuntamente utilizaron tokens de acceso robados para plantar archivos de workflow maliciosos, convirtiendo un pipeline de desarrollo en una forma de recopilar secretos. La información disponible es breve, por lo que esta publicación se ciñe a lo que se ha declarado y se centra en pasos prácticos que los desarrolladores pueden tomar ahora.

Cómo los tokens robados permitieron el ataque a los workflows de GitHub

Según el informe, la campaña utilizó tokens robados para añadir workflows del "stealer WFX" a unos 66.000 repositorios de GitHub. Un token es una credencial que permite a una persona o a una aplicación actuar en una cuenta sin escribir una contraseña. Si un atacante posee un token válido con permisos suficientes, GitHub trata sus acciones como legítimas.

Eso es lo que hace de los workflows un objetivo atractivo. Los workflows de GitHub Actions son archivos almacenados en un repositorio que se ejecutan automáticamente, a menudo con acceso a los secretos que un proyecto utiliza para compilar, probar y desplegar código. Un workflow malicioso no necesita explotar un fallo de software. Solo necesita ser confirmado por alguien que GitHub cree que está autorizado, y entonces se ejecuta dentro del pipeline.

El resumen de la fuente no detalla cómo se robaron originalmente los tokens, y no vamos a especular. Lo que importa para los lectores es el patrón: el propio pipeline se convierte en el mecanismo de entrega, y las credenciales que lo desbloquean son el verdadero premio.

Qué puede exponer el stealer WFX desde las cuentas de desarrolladores

El informe describe los workflows como ladrones de secretos, y el ángulo sugerido señala que los pipelines de CI/CD pueden convertirse en una vía hacia los secretos y las cuentas personales de los desarrolladores. En términos prácticos, un stealer que se ejecuta en un pipeline puede estar en posición de alcanzar todo lo que ese pipeline puede alcanzar. Ejemplos típicos de dicho material incluyen:

  • Claves de API y credenciales de la nube almacenadas como secretos del repositorio
  • Tokens de despliegue y credenciales de registros de paquetes
  • Otros tokens de GitHub disponibles para el workflow

Los datos exactos que recopila el stealer WFX no se han confirmado en la información de la que disponemos, así que trate la lista anterior como categorías de riesgo comunes a los secretos de pipeline, no como hallazgos verificados sobre esta campaña. La preocupación más amplia es que un token robado puede llevar a más tokens robados. Los secretos extraídos de un repositorio pueden desbloquear otros servicios, y así es como el compromiso de un repositorio puede propagarse a cuentas personales y organizacionales.

Esto encaja con un tema más amplio que hemos cubierto antes: sistemas en los que se supone que las personas deben confiar siendo utilizados en su contra. Nuestro análisis de cómo un fallo de zero-click en Pixel y los ataques de ScreenConnect contra MSPs compartían ese mismo hilo incómodo muestra con qué frecuencia la herramienta de confianza es el punto débil.

Cómo comprobar si sus repositorios se vieron afectados

No podemos decirle si un repositorio específico está en la lista afectada, y la información disponible no publica ninguna. Aun así, puede buscar signos de manipulación por su cuenta:

  1. Revise los archivos de workflow. Abra la carpeta .github/workflows en cada repositorio y busque archivos que no reconozca, o ediciones que usted no hizo.
  2. Compruebe el historial de commits y pull requests. Busque commits o ramas recientes que toquen workflows, especialmente de cuentas desconocidas o en horarios extraños.
  3. Inspeccione los registros de ejecución de Actions. Las ejecuciones inesperadas, los nuevos disparadores o los pasos que realizan solicitudes de red salientes merecen una mirada más cercana.
  4. Revise su registro de seguridad y las aplicaciones autorizadas. En la configuración de GitHub, compruebe qué tokens de acceso personal, aplicaciones OAuth y GitHub Apps tienen acceso, y elimine todo lo que no use.
  5. Asuma la exposición si encuentra algo. Trate cada secreto que ese workflow pudiera leer como comprometido y reemplácelo.

Fortalecer GitHub: tokens, MFA y Actions de terceros

Ninguno de estos pasos es exótico, pero juntos reducen lo que un token robado puede hacer.

Rote y reduzca los tokens. Revogue los tokens de acceso personal antiguos y emita nuevos con el alcance más limitado y la caducidad más corta que funcione. Los tokens de grano fino limitados a repositorios específicos son más seguros que los amplios.

Active la autenticación multifactor. La MFA protege el inicio de sesión de su cuenta, aunque conviene recordar que un token robado puede eludir por completo el paso de inicio de sesión. Por eso la higiene de tokens importa igual de mucho.

Limite los permisos de los workflows. Establezca el token de workflow predeterminado como de solo lectura y conceda acceso de escritura solo donde un job realmente lo necesite. Exija revisión antes de fusionar cambios en archivos de workflow, por ejemplo mediante protección de ramas y code owners.

Verifique las Actions de terceros. Fije las Actions a un commit específico en lugar de a una etiqueta móvil, y prefiera las de mantenedores en los que confíe. Mantenga los secretos fuera de los jobs que no los necesitan.

Qué significa esto para usted

Si mantiene aunque sea un proyecto pequeño en GitHub, sus archivos de workflow forman parte de su superficie de ataque. Un token robado puede permitir que alguien añada un workflow que lea silenciosamente sus secretos, y puede que nunca vea una alerta. Los desarrolladores individuales, los mantenedores de código abierto y las empresas con despliegues automatizados están todos dentro del alcance.

La buena noticia es que las defensas están bajo su control y cuestan poco tiempo. Esto también forma parte de un patrón recurrente en el que los atacantes van tras las cuentas y herramientas en las que las personas ya confían. Nuestra cobertura de Incransom reclamando un ataque contra TrRAC Inc. es un tipo de incidente diferente, pero subraya con qué rapidez el acceso robado puede convertirse en daño real.

Conclusiones prácticas

  • Rote sus tokens de GitHub hoy y elimine los que ya no use.
  • Active la MFA en cada cuenta con acceso a repositorios.
  • Audite sus archivos .github/workflows en busca de cambios que usted no hizo.
  • Establezca los permisos de los workflows como de solo lectura por defecto y fije las Actions de terceros.
  • Si encuentra algo sospechoso, reemplace cada secreto al que ese workflow pudiera acceder.

Los informes sobre tokens robados de GitHub y el stealer WFX siguen desarrollándose, y los detalles pueden cambiar. No espere a la confirmación para ordenar su propia configuración: rote tokens, active la MFA y audite sus workflows hoy.