(https://i.imgur.com/WPCMOqw.jpeg)
Investigadores de ciberseguridad han descubierto una sofisticada campaña automatizada denominada Megalodon, responsable de comprometer miles de repositorios en GitHub mediante commits maliciosos diseñados para robar secretos críticos de entornos CI/CD, credenciales cloud y claves privadas.
De acuerdo con un informe publicado por SafeDep, los atacantes enviaron 5.718 commits maliciosos contra 5.561 repositorios GitHub en apenas seis horas, marcando uno de los ataques automatizados de cadena de suministro más agresivos observados hasta la fecha.
La operación evidencia la creciente profesionalización de los ataques dirigidos a ecosistemas DevOps y plataformas de desarrollo modernas, donde los pipelines automatizados se han convertido en objetivos prioritarios para actores maliciosos avanzados.
Cómo funciona la campaña MegalodonSegún los investigadores, los atacantes utilizaron cuentas desechables de GitHub junto con identidades de autores falsificadas para hacer pasar los commits maliciosos como actualizaciones rutinarias de integración continua (CI).
Entre los nombres utilizados por los atacantes se encuentran:
- build-bot
- auto-ci
- ci-bot
- pipeline-bot
Los commits incluían flujos de trabajo maliciosos de GitHub Actions que ejecutaban cargas útiles Bash codificadas en Base64.
Estas cargas útiles estaban diseñadas para recopilar y exfiltrar información sensible desde entornos CI/CD comprometidos hacia un servidor de comando y control (C2).
El servidor utilizado por los atacantes fue identificado en la dirección IP 216.126.225[.]129:8443.
Credenciales y secretos robados por MegalodonEl malware desplegado durante la campaña Megalodon posee capacidades extremadamente amplias para robar información crítica relacionada con infraestructuras cloud y pipelines DevOps.
Entre los datos objetivo identificados por SafeDep destacan:
- Variables de entorno CI/CD
- Credenciales de Amazon Web Services (AWS)
- Tokens de acceso de Google Cloud
- Credenciales de Microsoft Azure IMDS
- Tokens OIDC de GitHub Actions
- GITHUB_TOKEN
- Tokens CI/CD de GitLab y Bitbucket
- Claves privadas SSH
- Configuraciones Docker y Kubernetes
- Tokens HashiCorp Vault
- Credenciales Terraform
- JWTs y claves API
- Archivos .env
- service-account.json
- credentials.json
- Historiales de shell
- Claves privadas PEM
- Cadenas de conexión a bases de datos
El malware también extraía secretos utilizando más de 30 patrones de expresiones regulares capaces de detectar tokens cloud, credenciales empresariales y claves criptográficas sensibles.
GitHub Actions convertido en arma de ataqueUno de los aspectos más peligrosos de la campaña es el abuso de GitHub Actions como mecanismo de propagación y ejecución de malware.
Los atacantes añadieron workflows maliciosos que se ejecutaban automáticamente durante procesos de integración continua, aprovechando la confianza existente dentro de los pipelines DevOps.
SafeDep identificó dos variantes principales utilizadas durante los ataques:
SysDiagLa variante SysDiag añadía un workflow automatizado que se ejecutaba con cada evento push o pull request.
Su objetivo era maximizar la propagación y comprometer la mayor cantidad posible de pipelines CI/CD.
Optimize-BuildLa segunda variante, llamada Optimize-Build, utilizaba el disparador workflow_dispatch, permitiendo ejecutar manualmente el flujo malicioso bajo demanda.
Este enfoque era más sigiloso y estaba orientado a mantener persistencia operativa evitando detecciones automáticas.
Tiledesk entre los proyectos afectadosUno de los paquetes comprometidos durante la campaña fue @tiledesk/tiledesk-server, donde los investigadores detectaron una carga útil Bash codificada en Base64 incrustada dentro de un workflow de GitHub Actions.
En este caso, el objetivo principal no era comprometer directamente a los usuarios finales del paquete npm, sino atacar específicamente los runners CI/CD asociados al proyecto.
Esto demuestra cómo los atacantes están priorizando cada vez más la infraestructura de desarrollo y automatización sobre los dispositivos tradicionales.
Los atacantes utilizaron cuentas desechables y credenciales robadasLa operación Megalodon fue altamente automatizada y utilizó múltiples técnicas para ocultar la identidad real de los operadores.
Los investigadores descubrieron que los atacantes:
- Crearon cuentas GitHub desechables con nombres aleatorios de ocho caracteres.
- Falsificaron identidades mediante git config.
- Utilizaron PATs comprometidos.
- Aprovecharon claves de despliegue robadas.
Los mensajes de commit imitaban tareas rutinarias de mantenimiento CI/CD para reducir sospechas y aumentar las probabilidades de que los cambios fueran fusionados por los mantenedores legítimos.
TeamPCP y la nueva era de ataques a la cadena de suministroLa campaña Megalodon surge en medio de una ola creciente de ataques asociados al grupo TeamPCP, el cual ha estado explotando ecosistemas de código abierto para propagar malware y comprometer desarrolladores.
Según expertos de OX Security, estos ataques representan una nueva etapa en la evolución de las amenazas supply chain.
- El investigador Moshe Siman Tov Bustan afirmó:
- "Hemos entrado en una nueva era de ataques a la cadena de suministro".
El grupo TeamPCP ya ha sido vinculado a incidentes que afectaron organizaciones y proyectos conocidos como:
- OpenAI
- Mistral AI
- Grafana Labs
- TanStack
Ataques similares a gusanos se propagan entre proyectos open sourceLos expertos advierten que los ataques modernos de cadena de suministro funcionan de manera similar a gusanos informáticos.
Cada repositorio comprometido se convierte en una nueva plataforma para atacar otros proyectos relacionados, creando una propagación cíclica extremadamente difícil de contener.
Además, TeamPCP aparentemente mantiene vínculos con grupos de extorsión y ciberdelincuencia como:
Los investigadores también detectaron motivaciones geopolíticas dentro de algunas campañas, incluyendo despliegue de malware destructivo en sistemas ubicados en Irán e Israel.
npm invalida tokens para frenar ataquesComo respuesta a la creciente oleada de ataques supply chain, npm invalidó tokens granulares con permisos de escritura que podían eludir mecanismos de autenticación multifactor (2FA).
La plataforma también recomendó migrar hacia Trusted Publishing para reducir riesgos asociados al robo de credenciales.
Sin embargo, expertos de Socket advirtieron que la medida solo proporciona un alivio temporal.
CitarSegún la compañía:
"El reinicio da margen de respiro. No cierra el agujero subyacente".
Paquetes npm maliciosos roban claves privadas de criptomonedasParalelamente, investigadores descubrieron otra campaña maliciosa operada por una cuenta desechable llamada "polymarketdev".
El atacante publicó nueve paquetes npm fraudulentos que imitaban herramientas CLI relacionadas con Polymarket para robar claves privadas Ethereum y Polygon.
Los paquetes incluían scripts postinstall que mostraban falsas solicitudes de configuración de wallets y enviaban las claves privadas capturadas hacia un servidor controlado por los atacantes.
Entre los paquetes identificados destacan:
- polymarket-trading-cli
- polymarket-bot
- Polymarket-terminal
- Polymarket-AI-agent
El ecosistema open source enfrenta una crisis de seguridadLa campaña Megalodon confirma que el ecosistema de software open source atraviesa una de las crisis de seguridad más complejas de los últimos años.
Los atacantes ya no buscan únicamente comprometer usuarios finales, sino infiltrarse directamente en pipelines de desarrollo, repositorios GitHub y cadenas de suministro de software para maximizar el impacto de sus operaciones.
La automatización masiva de commits maliciosos, el robo de secretos cloud y la explotación de GitHub Actions reflejan cómo los actores de amenazas están evolucionando rápidamente sus tácticas para atacar infraestructuras críticas de desarrollo moderno.
Ante este panorama, los expertos recomiendan fortalecer controles de acceso, implementar revisiones estrictas de commits, proteger secretos CI/CD y adoptar modelos Zero Trust dentro de entornos DevOps y pipelines de automatización.
Fuente: https://thehackernews.com/