Campanha wfx-loot leva stealer de segredos de CI a dezenas de milhares de repositórios no GitHub

A campanha wfx-loot começou em 10 de novembro de 2026, por volta das 12h45 UTC, segundo a Aikido. Os atacantes usam tokens do GitHub roubados e, para cada repositório em que o token tem escrita, seguem três passos: abrem uma pull request de sondagem chamada docs: dependency audit notes a partir de uma branch wfx-docs, empurram o payload e limpam tudo em até um minuto, apagando a execução do workflow e seus logs. O payload tem três variantes: injeção de cerca de 1.500 linhas em workflow existente, um hook postinstall no package.json e uma branch descartável chore/ com workflow novo. Um número de execução ausente no histórico do workflow costuma ser o único rastro.

O payload é um único script shell de cerca de 1.500 linhas, comentado e sem ofuscação. Ele coleta segredos do Actions, tokens OIDC, arquivos de credenciais (AWS, Azure, GCP, Docker, Kubernetes, npm, SSH e outros), chaves de provedores de IA e memória dos processos Runner.Worker e Runner.Listener. Depois escala via troca de OIDC por sessões de cloud e persiste: forja status checks obrigatórios para passar pela proteção de branch, reescreve a trust policy de um role da AWS com Principal "*" e cria credenciais federadas wfx-ci-… no Azure AD, que continuam valendo após a rotação de tokens. Nesta campanha, a exfiltração está configurada só por HTTP POST para 194.150.166[.]244:8080/exfil e 18.143.168[.]96:8080/exfil. Por isso, a ausência de artefatos wfx-loot, caches wfx- ou marcadores WFX-BEGIN não prova que nada foi levado.

A Aikido aponta sobreposição de contas com a onda GhostAction de outubro, e em mais de 100 repositórios o wfx-loot foi injetado em arquivos de workflow do GhostAction. Mesmo assim, avalia que são campanhas distintas, com infraestrutura, ferramentas e prática diferentes, provavelmente de atores diferentes. No histórico do CEVIU, em 27 de outubro de 2026, a matéria "Campanha Gheist usa tokens roubados do GitHub em escala, mas esbarra em bloqueio de aprovação" já mostrava o uso de tokens roubados em escala, com mais de 850 contas e mais de 13.500 workflows. Não há no material uma confirmação de que Gheist e GhostAction sejam a mesma operação, então a ligação fica só como padrão de tática. A escala agora é maior: 4.837 contas e 61.764 repositórios sondados.

Para quem opera CI/CD, a leitura é que token roubado de desenvolvedor virou vetor de varredura em massa, e a revisão de pull requests não protege se o status check pode ser forjado. Se o payload rodou, a Aikido orienta assumir comprometidos todos os segredos e roles cloud acessíveis aos workflows. Rotacionar tokens não basta: vale auditar trust policies da AWS e credenciais federadas no Azure.