Campaña con miles de cuentas de GitHub robadas que filtra secretos de CI

Nivel S · Shit hits the fan – Deja todo lo demás

Quién está expuesto: Al menos 1.806 repositorios con flujos de CI en GitHub

Nivel S porque: Infraestructura básica Y se está explotando Y (compromiso total O secretos expuestos)

Alcance

Ataque

Daño

Corrección

Infraestructura básica · Herramienta popular · Se está explotando · Compromiso total · Secretos expuestos · Cadena de suministro

Lo esencial

Un atacante utilizó credenciales robadas de más de 4.800 cuentas de GitHub.
El objetivo fue implantar software malicioso que robara secretos, tokens y credenciales de nube a través de los flujos de CI, con al menos 1.806 repositorios afectados.
Según la fuente, los atacantes borraron después los registros de ejecución.

Por qué importa

Si tus repositorios usan flujos de CI en GitHub, los secretos y credenciales de nube que estos flujos manejan pudieron quedar expuestos, por lo que conviene revisar tus workflows y tus accesos.

La checklist detrás del nivel

Checklist · 7 de 10 con sí

Sí	Afecta a equipos técnicos	Criterio de juicio: GitHub es una plataforma que usan a diario desarrolladores y equipos de operaciones.
Sí	Infraestructura básica	Criterio de juicio: GitHub es una plataforma de código de uso prácticamente universal entre equipos técnicos.
Sí	Herramienta popular	Criterio de juicio: GitHub es una plataforma de desarrollo muy extendida, por lo que el fallo afecta a una herramienta común.
Sí	Se está explotando	Blog elhacker.NET y Bit Life Media: campaña real que comprometió más de 4.800 cuentas de GitHub.
No	Exploit público	Las fuentes no mencionan código de explotación ni prueba de concepto publicada.
No	En remoto, sin credenciales	Blog elhacker.NET: el atacante usó credenciales robadas, por lo que requiere credenciales válidas.
Sí	Compromiso total	Blog elhacker.NET: el atacante implantó software malicioso en miles de repositorios mediante cuentas comprometidas.
Sí	Secretos expuestos	Blog elhacker.NET: se robaron secretos, tokens y credenciales de nube de proyectos afectados.
Sí	Cadena de suministro	Blog elhacker.NET: se introdujo software malicioso en flujos de trabajo de CI de proyectos legítimos.
No	Aún sin corrección	Las fuentes no indican si existe una corrección ni si el problema sigue abierto.

Cronología

Cobertura completa · 3 fuentes

MuySeguridad. Seguridad informática.
Una campaña con 4.837 cuentas robadas de GitHub siembra un ladrón de secretos en miles de repositorios
hace 44 min ↗
Bit Life Media
Ciberdelincuentes comprometen más de 4.800 cuentas de GitHub para robar credenciales y acceder a servicios en la nube
hace 1 día ↗
Blog elhacker.NET
Más de 4.800 cuentas de GitHub comprometidas ejecutaron un robo de secretos de CI en 1.806 repositorios y luego borraron los registros
hace 2 días ↗

Visto por primera vez hace 2 días · 3 fuentes · La noticia completa · Cómo se deciden los niveles