GTA 6: свежие новости и статьи
Раздача игр в PS Plus в ноябре 2026-го
Исследователи Aikido Security обнаружили масштабную кампанию по краже секретных ключей на GitHub. С 10 ноября 2026 года злоумышленники использовали около 4800 взломанных аккаунтов, чтобы атаковать 61 764 репозитория.
Кампания получила название wfx-loot. Сам GitHub при этом не взламывали. Атакующие пользовались действующими токенами разработчиков и ботов, происхождение которых пока не установлено. С их помощью они отправляли в репозитории «пробные» пул-реквесты, замаскированные под проверку зависимостей, и выясняли, есть ли у них права на изменение кода.
Там, где доступ был, злоумышленники внедряли вредоносный код в сценарии GitHub Actions, скрипты CI-систем и установочные хуки npm. Программа крадёт токены GitHub, секреты репозиториев, ключи облачных сервисов AWS и Azure, а также ключи ИИ-сервисов. После этого атакующие обычно откатывали изменения и удаляли запуски сценариев, чтобы замести следы.
Вредоносный код успел сработать более чем в 1800 репозиториях. Ряд изданий со ссылкой на исследователей сообщает, что среди пострадавших оказались аккаунты, связанные с госструктурами США и Франции, однако официального подтверждения от властей этих стран нет.
Специалисты советуют владельцам затронутых проектов считать все доступные секреты скомпрометированными, отозвать токены и сменить ключи. Полный масштаб ущерба исследователи пока оценивают.
