Investigadores de ciberseguridad han revelado detalles de una nueva campaña automatizada llamada Megalodon que ha introducido 5.718 confirmaciones maliciosas en 5.561 repositorios de GitHub en un lapso de seis horas.
"Utilizando cuentas desechables e identidades de autor falsificadas (build-bot, auto-ci, ci-bot, pipeline-bot), el atacante inyectó flujos de trabajo de GitHub Actions que contenían cargas útiles bash codificadas en base64 que extraían secretos de CI, credenciales en la nube, claves SSH, tokens OIDC y secretos de código fuente a un servidor C2 en 216.126.225[.]129:8443″, dijo SafeDep en un informe.
A continuación se muestra la lista completa de datos recopilados por el malware:
- Variables de entorno CI, /proc/*/environ y entorno PID 1
- Credenciales de Amazon Web Services (AWS)
- tokens de acceso a Google Cloud
- Credenciales de rol de instancia obtenidas mediante consultas a AWS IMDSv2, metadatos de Google Cloud y puntos finales del Servicio de metadatos de instancia (IMDS) de Microsoft Azure.
- claves privadas SSH
- Configuraciones de Docker y Kubernetes
- tokens de bóveda
- Credenciales de Terraform
- Historia de Shell
- Claves API, cadenas de conexión a bases de datos, JWT, claves privadas PEM y tokens en la nube que coinciden con más de 30 patrones de expresiones regulares secretas.
- URL y token de solicitud de token OIDC de GitHub Actions
- GITHUB_TOKEN, tokens de GitLab CI/CD y tokens de Bitbucket
- Archivos .env, credentials.json, service-account.json y otros archivos de configuración.
Uno de los paquetes afectados es @tiledesk/tiledesk-server, que incluye una carga útil bash codificada en Base64 dentro de un archivo de flujo de trabajo de GitHub Actions. En total, se realizaron 5718 confirmaciones en 5561 repositorios distintos el 18 de mayo de 2026, entre las 11:36 y las 17:48 UTC.
"El atacante alternó entre cuatro nombres de autor (build-bot, auto-ci, ci-bot, pipeline-bot) y siete mensajes de confirmación, todos imitando el mantenimiento rutinario de CI", dijo SafeDep. "El atacante usó cuentas desechables de GitHub con nombres de usuario aleatorios de 8 caracteres (por ejemplo, rkb8el9r, bhlru9nr, lo6wt4t6), configuró git config para falsificar la identidad del autor y envió los cambios a través de PAT o claves de despliegue comprometidas".
Se han observado dos variantes de carga útil como parte de la campaña a gran escala: SysDiag, una variante masiva que agrega un nuevo flujo de trabajo que se activa con cada solicitud push y pull, y Optimize-Build, una variante dirigida que se activa solo con workflow_dispatch , un activador de GitHub Actions que permite a los usuarios ejecutar manualmente un flujo de trabajo bajo demanda. En el caso de Tiledesk, el enfoque dirigido se utiliza para atacar a los ejecutores de CI/CD, y no cuando se instala el paquete npm.
«La contrapartida es que `on: push` garantizaría la ejecución en cada commit a `master`, alcanzando más objetivos sin intervención», añadió SafeDep. «`Workflow_dispatch` sacrifica eso en aras de la seguridad operativa. Con más de 5700 repositorios comprometidos, incluso una pequeña fracción que genere un `GITHUB_TOKEN` utilizable le da al atacante suficientes objetivos para activar acciones bajo demanda».
El resultado es que, una vez que el propietario de un repositorio fusiona la confirmación, el malware se ejecuta dentro de sus pipelines de CI/CD y se propaga aún más, lo que permite el robo de credenciales y secretos a gran escala.
"Hemos entrado en una nueva era de ataques a la cadena de suministro, y el ataque de TeamPCP a GitHub fue solo el principio", declaró Moshe Siman Tov Bustan, de OX Security . "Lo que viene a continuación es una oleada interminable, un tsunami de ciberataques contra desarrolladores de todo el mundo".
Este desarrollo se produce en un momento en que TeamPCP ha utilizado la cadena de suministro de software interconectada como arma para corromper cientos de herramientas de código abierto, infiltrándose en diversos ecosistemas y extorsionando a las víctimas para obtener beneficios en algunos casos. GitHub, propiedad de Microsoft, se ha convertido en la última incorporación a la larga lista de víctimas del grupo, que también incluye a TanStack, Grafana Labs, OpenAI y Mistral AI.
Los ataques de TeamPCP han impulsado una explotación cíclica de proyectos populares de código abierto, donde una vulnerabilidad alimenta la siguiente, permitiendo que el malware se propague rápidamente, como un gusano. El grupo también parece tener motivaciones económicas y ha establecido alianzas con BreachForums y otros grupos de extorsión como LAPSUS$ y VECT.
Además, el grupo parece tener también motivaciones geopolíticas, como lo demuestra el despliegue de software malicioso que borra datos al detectar máquinas ubicadas en Irán e Israel.
Las consecuencias de la oleada de ataques de TeamPCP y del gusano Mini Shai-Hulud han llevado a npm a invalidar los tokens de acceso granular con permisos de escritura que eluden la autenticación de dos factores (2FA). NPM también insta a los usuarios a migrar a Trusted Publishing para reducir la dependencia de dichos tokens.
«Al quemar todos los tokens de bypass-2FA de la plataforma, npm interrumpe las credenciales que el gusano ya ha recopilado», declaró la empresa de seguridad de aplicaciones Socket . «Los responsables del mantenimiento emiten nuevos tokens. El gusano, que sigue activo, vuelve a recopilarlos. El reinicio da un respiro, pero no soluciona el problema subyacente».
Grupos de ciberdelincuentes como Megalodon y TeamPCP se dedican a comprometer paquetes legítimos para distribuir malware. Por otro lado, se ha descubierto que una cuenta desechable llamada " polymarketdev " publicó nueve paquetes npm maliciosos que suplantaban las herramientas de línea de comandos de Polymarket en un lapso de 30 segundos para robar las claves privadas de Ethereum/Polygon de las víctimas mediante un gancho posterior a la instalación.
Al momento de escribir esto, todavía están disponibles para descargar desde npm. Los nombres de los paquetes se encuentran a continuación:
- polymarket-trading-cli
- terminal de polimercado
- comercio polimercado
- polimercado-autocomercio
- Copia de mercado polimercado
- bot de mercado de poli
- código de Polymarket Claude
- agente de IA de Polymarket
- comerciante de polimercado
"Tras la instalación, un script posterior a la instalación muestra un mensaje falso de bienvenida a la billetera que solicita al usuario que pegue su clave privada, afirmando que 'permanece cifrada'", dijo SafeDep . "El script envía la clave sin cifrar a un Cloudflare Worker en hxxps://polymarketbot.polymarketdev.workers[.]dev/v1/wallets/keys".
El atacante creó una interfaz de línea de comandos (CLI) funcional para operar en torno a una operación de robo de credenciales. El ataque se basa en la ingeniería social: el mensaje posterior a la instalación se asemeja al proceso estándar de configuración de una billetera, el enmascaramiento imita la entrada segura de datos y el repositorio de GitHub proporciona una falsa credibilidad.
Fuente: https://thehackernews.com/2026/05/megalodon-github-attack-targets-5561.html
