Malware espalhou backdoor no GitHub via CI/CD

Uma campanha automatizada codinome ‘Megalodon’ injetou 5.718 commits maliciosos em 5.561 repositórios do GitHub em um período de seis horas no dia 18 de maio de 2026, conforme análise da OX Security publicada em 21 de maio. O malware, descoberto inicialmente pela SafeDep, utiliza contas descartáveis e identidades forjadas (build-bot, auto-ci, ci-bot, pipeline-bot) para injetar workflows maliciosos do GitHub Actions que exfiltram segredos de CI, credenciais de nuvem, chaves SSH e tokens OIDC para um servidor C2 no endereço 216.126.225.129:8443.

Duas variantes: propagação em massa e backdoor direcionado

A campanha empregou duas variantes. A variante de massa (SysDiag) adiciona um novo workflow acionado a cada push e pull request, maximizando a execução automática. A variante direcionada (Optimize-Build) substitui workflows existentes com gatilhos workflow_dispatch, criando backdoors dormentes que o invasor pode ativar sob demanda via API do GitHub. O pacote npm @tiledesk/tiledesk-server, nas versões 2.18.6 a 2.18.12, foi comprometido por meio do repositório GitHub da Tiledesk – o mantenedor legítimo publicou as versões contaminadas sem saber.

Credenciais roubadas e impacto

O malware exfiltra todas as variáveis de ambiente de CI, tokens OIDC do GitHub Actions (permitindo impersonificação de identidade na nuvem), credenciais da AWS (via ‘aws configure list-profiles’), tokens do GCP, Azure IMDS, chaves SSH, arquivos .npmrc, .netrc, configurações do Kubernetes, tokens do Vault, além de varrer o código-fonte com expressões regulares para capturar 30 tipos de segredos (chaves de API, strings de conexão de banco de dados, JWTs, chaves privadas). Os commits utilizam datas falsificadas e e-mails como [email protected] e [email protected], com mensagens como “ci: add build optimization step” e “build: improve ci performance”.

Recomendações e próximos passos

As empresas devem bloquear conexões com o C2 (216.126.225.129), revogar e rotacionar todas as credenciais, chaves SSH e tokens de API em máquinas afetadas, e auditar repositórios GitHub em busca de workflows YAML infectados. A SafeDep alerta que essa campanha representa uma nova era de ataques à cadeia de suprimentos, onde a exploração de brechas de segurança e erros humanos permite a disseminação de código malicioso em escala massiva.