Украденные ключи доступа к GitHub использовали для массовой кражи секретов автоматической сборки программ. По отчёту Aikido от 12 ноября, с 10 ноября через 4 837 скомпрометированных аккаунтов проверили возможность записи в 61 764 репозитория. Признаки запуска вредоносного кода нашли более чем в 1 800 из них: число проверенных проектов не равно числу успешных краж.

Кампания получила название wfx-loot. Сначала атакующий оставлял безобидный запрос на изменение документации, затем там, где хватало прав, напрямую добавлял код в задания GitHub Actions или запускаемые ими файлы. Actions — сервис, который автоматически собирает и проверяет программы; ему часто доверяют ключи облачных сервисов и публикации пакетов. Одобрять предложенную правку документации для такой кражи не требовалось.

После запуска атакующий откатывал изменения и удалял задание вместе с журналом — обычно в пределах минуты. StepSecurity, изучившая более ста вредоносных коммитов, подчёркивает: это использование действительных токенов разработчиков и служебных аккаунтов, а не найденная ошибка GitHub Actions. Как именно токены попали к атакующим, исследователи не установили.

Менялся и способ вывода добычи. По выборке StepSecurity, утром 12 ноября новые варианты стали отправлять украденное только в Telegram, без прежнего сервера-сборщика. Поэтому блокировка ранее опубликованных IP-адресов уже не перекрывала этот канал. Отмена вредоносной правки тоже не возвращает похищенные секреты: внешне восстановленный код ещё не означает восстановленной безопасности.