Нова масштабна кампанія під назвою Megalodon скомпрометувала щонайменше 5561 GitHub-репозиторій, використовуючи підроблені повідомлення про безпеку та шкідливі pull request-и. Атака була спрямована на розробників open-source проєктів і могла призвести до крадіжки токенів та зараження систем malware.
Дослідники з кібербезпеки розкрили подробиці нової автоматизованої кампанії Megalodon, у межах якої зловмисники за шість годин внесли 5718 шкідливих комітів у 5561 GitHub-репозиторій. Атака була спрямована на викрадення CI/CD-секретів, хмарних токенів і доступів до інфраструктури розробників.
За даними SafeDep, атакувальники використовували одноразові GitHub-акаунти з випадковими іменами на кшталт rkb8el9r або lo6wt4t6, а також підробляли особистості авторів комітів під назви build-bot, auto-ci, ci-bot і pipeline-bot. Коміти виглядали як звичайне технічне обслуговування CI/CD або оновлення пайплайнів.
У шкідливих workflow GitHub Actions містилися bash-скрипти в Base64, які після запуску починали збирати конфіденційні дані та відправляли їх на C2-сервер за адресою 216.126.225[.]129:8443.
Під удар потрапила величезна кількість чутливої інформації. Malware викрадав змінні середовища CI, AWS-облікові дані, токени Google Cloud, GitHub Tokens, GitLab CI/CD токени, Bitbucket credentials, конфігурації Docker і Kubernetes, Terraform secrets, SSH-ключі, shell history та файли .env, credentials.json і service-account.json.
Окремо дослідники зазначають, що шкідливий код шукав API-ключі, JWT-токени, рядки підключення до баз даних, PEM-ключі та хмарні токени, використовуючи понад 30 шаблонів регулярних виразів.
Одним із підтверджених прикладів став пакет @tiledesk/tiledesk-server, де SafeDep виявила Base64 payload усередині GitHub Actions workflow. Усі зараження відбулися 18 травня 2026 року між 11:36 та 17:48 UTC.
SafeDep повідомляє, що кампанія використовувала два варіанти шкідливого навантаження. Перший, SysDiag, був масовим і запускався при кожному push або pull request. Другий, Optimize-Build, працював більш приховано й активувався лише вручну через workflow_dispatch.
«Workflow_dispatch жертвує цим заради операційної безпеки. З більш ніж 5700 скомпрометованими репозиторіями навіть невелика частина, що дає доступний GITHUB_TOKEN, дає зловмиснику достатньо цілей для запуску на вимогу», – пояснили у SafeDep.
Після злиття шкідливого коміту malware автоматично запускався всередині CI/CD-пайплайнів і продовжував поширення далі, фактично створюючи ефект черв’яка в open-source екосистемі.
На цьому тлі експерти все частіше порівнюють Megalodon із масштабними supply chain-атаками TeamPCP і Mini Shai-Hulud. Саме TeamPCP раніше атакувала TanStack, Grafana Labs, OpenAI, Mistral AI та інші великі проєкти, використовуючи зараження залежностей і компрометацію open-source інструментів.
«Ми вступили в нову еру атак на ланцюги поставок, і компрометація GitHub з боку TeamPCP була лише початком», – заявив Моше Сіман Тов Бустан з OX Security. «Далі буде нескінченна хвиля, цунамі кібератак на розробників у всьому світі».
Дослідники також звернули увагу на ще одну активність, пов’язану з npm. Одноразовий акаунт polymarketdev менш ніж за хвилину опублікував дев’ять шкідливих npm-пакетів, які видавали себе за CLI-інструменти для трейдингу на Polymarket.
Після встановлення пакети показували підроблене вікно прив’язки криптогаманця й просили користувача вставити приватний ключ Ethereum або Polygon. SafeDep встановила, що ключі надсилалися у відкритому вигляді через Cloudflare Worker.
«Зловмисник створив функціональний торговий CLI-інтерфейс навколо операції крадіжки облікових даних», – зазначили аналітики. За їх словами, атака будувалася навколо соціальної інженерії та імітації легітимного застосунку.
23 травня Hudson Rock опублікувала окремий аналіз, у якому пов’язала Megalodon із зараженнями infostealer-вірусами. Компанія заявила, що понад 33% GitHub-користувачів, чиї репозиторії постраждали в атаці, уже були присутні у базах викрадених даних із заражених комп’ютерів.
«Кампанія Megalodon є яскравим нагадуванням про те, що якщо розробники заражені infostealer-малвар’ю, GitHub стає стартовим майданчиком для руйнівних каскадних атак», – заявили в Hudson Rock.
Після серії інцидентів npm уже почала відкликати токени доступу, які дозволяли обходити двофакторну автентифікацію, і рекомендувала розробникам переходити на Trusted Publishing.
У Socket при цьому попередили, що просте скидання токенів проблему не вирішує. «Скидання дає лише перепочинок. Воно не закриває основну діру», – наголосили в компанії.
