Los investigadores de ciberseguridad han revelado detalles de una nueva campaña automatizada llamada Megalodon que impulsó 5.718 confirmaciones maliciosas a 5.561 repositorios de GitHub en seis horas.
«Los atacantes utilizaron cuentas desechables e identificaciones de autor falsificadas (build-bot, auto-ci, ci-bot, pipeline-bot) para inyectar flujos de trabajo de GitHub Actions que contienen cargas útiles bash codificadas en base64, extrayendo secretos de CI, credenciales de nube, claves SSH, tokens OIDC y secretos de código fuente a un servidor C2. 216.126.225(.)129:8443», dijo Safedepp en el informe.
La lista completa de datos recopilados por el malware se encuentra a continuación.
Variables de entorno de CI, /proc/*/environ y entorno PID 1 Credenciales de Amazon Web Services (AWS) Token de acceso a Google Cloud Credenciales de rol de instancia obtenidas consultando AWS IMDSv2, metadatos de Google Cloud y puntos finales de Microsoft Azure Instance Metadata Service (IMDS) Claves privadas SSH Configuración de Docker y Kubernetes Tokens de Vault Credenciales de Terraform Historial de Shell Tokens de API Cloud claves coincidentes, cadenas de conexión de bases de datos, JWT, claves privadas de PEM y más de 30 expresiones regulares secretas patrones Acciones de GitHub Tokens OIDC Solicitar URL y tokens GITHUB_TOKEN, tokens de GitLab CI/CD y tokens de Bitbucket Archivos .env, credenciales.json, service-account.json y otros archivos de configuración
Uno de los paquetes afectados es @tiledesk/tiledesk-server, que incluye cargas útiles bash codificadas en Base64 dentro de archivos de flujo de trabajo de GitHub Actions. Entre las 11:36 a. m. y las 5:48 p. m. UTC del 18 de mayo de 2026, se enviaron un total de 5718 confirmaciones a 5561 repositorios separados.
«Los atacantes rotaron cuatro nombres de autores (build-bot, auto-ci, ci-bot, pipeline-bot) y siete mensajes de confirmación, todos imitando el mantenimiento rutinario de CI», dijo SafeDep. «Los atacantes utilizaron cuentas de GitHub desechables con nombres de usuario aleatorios de ocho caracteres (rkb8el9r, bhlru9nr, lo6wt4t6, etc.), configuraron git config para falsificar ID de autor e implementaron PAT o claves de implementación comprometidas».
Se han observado dos variantes de carga útil como parte de una campaña más amplia. SysDiag es una variante masiva que agrega un nuevo flujo de trabajo que se activa en cada solicitud push y pull, y Optimize-Build es una variante específica que solo se activa en flowwork_dispatch, un activador de GitHub Actions que permite a los usuarios ejecutar flujos de trabajo manualmente bajo demanda. Para Tiledesk, se utiliza un enfoque dirigido al ejecutor de CI/CD en lugar de al instalar paquetes npm.
«La desventaja es quereach:on:push garantiza la ejecución de cada compromiso para dominar, alcanzando más objetivos sin intervención», agregó SafeDep. «Workflow_dispatch sacrifica la seguridad operativa. Con más de 5.700 repositorios comprometidos, incluso una fracción de GITHUB_TOKEN utilizables proporciona a los atacantes suficientes objetivos para activarse bajo demanda».
Como resultado, cuando los propietarios de repositorios fusionan confirmaciones, el malware se ejecuta dentro del proceso de CI/CD y se propaga aún más, lo que permite el robo de credenciales e información confidencial a gran escala.
«Hemos entrado en una nueva era de ataques a la cadena de suministro, y la violación de GitHub de TeamPCP es sólo el comienzo», dijo Moshe Siman Tov Bustan de OX Security. «Lo que viene después es una ola interminable, un tsunami de ciberataques a desarrolladores de todo el mundo».
El desarrollo se produce cuando TeamPCP está utilizando como arma su cadena de suministro de software interconectada para destruir cientos de herramientas de código abierto, infiltrarse en varios ecosistemas y, en algunos casos, extorsionar a las víctimas para obtener ganancias. GitHub, propiedad de Microsoft, es la última incorporación a una larga lista de víctimas de grupos como TanStack, Grafana Labs, OpenAI y Mistral AI.
Los ataques TeamPCP facilitan la explotación cíclica de proyectos populares de código abierto, donde una infracción influye en la siguiente, lo que permite que el malware se propague como un reguero de pólvora, similar a un gusano. El grupo también parece tener una motivación financiera y ha establecido asociaciones con BreachForums y otros grupos de extorsión como LAPSUS$ y VECT.
Además, el grupo parece tener motivaciones geopolíticas, como lo demuestra el malware Wiper que se implementa cuando detecta máquinas en Irán e Israel.
A raíz de la ola de ataques TeamPCP y el gusano Mini Shai-Hulud, npm ahora está deshabilitando los tokens de acceso avanzado con acceso de escritura que omiten la autenticación de dos factores (2FA). NPM también alienta a los usuarios a cambiar a emisiones confiables para reducir la dependencia de dichos tokens.
«Al quemar todos los tokens de bypass 2FA en la plataforma, npm bloquea las credenciales que el gusano ya ha recopilado», dijo la firma de seguridad de aplicaciones Socket. «El administrador emitirá uno nuevo. El gusano todavía está activo en la naturaleza y volverá a cosechar. El reinicio ganará espacio para respirar. El agujero subyacente no se cerrará».
Los grupos de actividades como Megalodon y TeamPCP comprometen paquetes legítimos para distribuir malware. Por el contrario, se descubrió que una cuenta de un solo uso llamada «polymarketdev» publicaba nueve paquetes npm maliciosos que se hacían pasar por la herramienta CLI comercial Polymarket en 30 segundos y robaba las claves privadas de Ethereum/Polygon de las víctimas a través de un gancho posterior a la instalación.
Al momento de escribir este artículo, todavía están disponibles para descargar desde npm. El nombre del paquete es el siguiente:
Polymarket-trading-clipolymarket-terminalpolymarket-tradepolymarket-auto-tradepolymarket-copy-tradingpolymarket-botpolymarket-claude-codepolymarket-ai-agentpolymarket-trader
«Durante la instalación, el script posterior a la instalación muestra un mensaje de incorporación de billetera falsa que le pide al usuario que pegue su clave privada, afirmando que ‘permanece cifrada'», dijo Safedepp. «El script envía las claves sin formato en texto claro al trabajador de Cloudflare en hxxps://polymarketbot.polymarketdev.workers(.)dev/v1/wallets/keys».
«Los atacantes han creado una CLI comercial funcional en torno a una operación de robo de credenciales. El ataque se lleva a cabo mediante ingeniería social. Los avisos posteriores a la instalación parecen una incorporación de billetera estándar, el enmascaramiento imita la entrada segura y los repositorios de GitHub brindan una falsa sensación de confianza».
Source link
