Seit Dienstag, 10. November, nutzen Angreifer gestohlene GitHub-Zugangs-Tokens, um Schadcode in Repositories einzuschleusen und still Geheimnisse aus GitHub Actions sowie verbundenen Cloud-Konten abzugreifen. Die Kampagne trägt mittlerweile den Namen wfx-loot und wurde in 61'764 Repositories bestätigt.
Das betrifft praktisch jedes Schweizer Unternehmen, das Software, Onlineshops oder automatisierte Workflows entwickelt oder pflegt. Wenn Ihre Entwickler – intern oder extern – GitHub mit CI/CD-Pipelines nutzen, die mit AWS, Azure oder Google Cloud verbunden sind, könnten Ihre Cloud-Zugangsdaten bereits gestohlen worden sein – und eine Hintertür könnte bereits in Ihrem Cloud-Konto liegen.
Was genau passiert ist
Die Sicherheitsfirma Aikido, die die Kampagne entdeckt und benannt hat, zählte 4'837 kompromittierte GitHub-Konten, die in 61'764 Repositories Test-Pull-Requests eröffneten. In mindestens 1'806 davon lief der eigentliche Secret-Stealer tatsächlich und stahl Daten.
Wo die Workflows eines Repositories Zugriff auf AWS oder Azure hatten, nutzte der Schadcode die gestohlenen Zugangsdaten nicht nur zum Diebstahl – er baute sich damit gleich einen Weg zurück hinein. Bei AWS wurde eine neue IAM-Rolle im Konto angelegt. Bei Azure wurden zusätzliche Authentifizierungspfade (Federated Credentials) zu bestehenden Workflows hinzugefügt. Beide Varianten sind so angelegt, dass sie eine normale Passwort- oder Schlüsselrotation überstehen.
Warum "einfach Passwörter ändern" nicht reicht
Das müssen Unternehmer klar verstehen: Wenn der Schadcode auch nur in einem einzigen Ihrer Repositories gelaufen ist, ist das Rotieren von Zugangsdaten nicht das Ende der Arbeit – sondern erst der Anfang. Die Hintertüren bleiben aktiv, selbst nachdem jedes Passwort und jeder API-Schlüssel geändert wurde, weil es sich um eigenständige Zugangswege handelt, die der Angreifer direkt im Cloud-Konto eingerichtet hat.
Aikidos eigene Empfehlung ist unmissverständlich: Wenn der Schadcode gelaufen ist, sollte man davon ausgehen, dass jedes Geheimnis und jede Cloud-Rolle, auf die dieser Workflow Zugriff hatte, kompromittiert ist – nicht nur das direkt gestohlene.
Was Sie heute prüfen sollten
- GitHub-Actions-Protokolle seit dem 10. November auf ungewöhnliche Workflow-Läufe, unbekannte Pull-Requests oder unerwartete GitHub-App-Installationen durchsehen.
- AWS-IAM-Rollen auf Einträge prüfen, die einem unbekannten Konto vertrauen oder um den 10. November herum ohne Wissen Ihres Teams erstellt wurden – siehe auch die Berichterstattung von Heise zu den nötigen Bereinigungsschritten.
- Azure Federated Credentials auf Einträge mit dem Präfix wfx-ci- prüfen – das spezifische Erkennungsmerkmal dieser Kampagne.
- Alle Secrets rotieren, die in betroffenen Workflows verwendet werden – aber das ist Schritt zwei, nicht die ganze Lösung.
- Die Hintertür selbst entfernen: die bösartige IAM-Rolle oder das Federated Credential löschen, nicht nur den gestohlenen Schlüssel, der sie erstellt hat.
- Drittanbieter-Apps und Tokens auf GitHub-Organisationsebene prüfen und alles widerrufen, was Sie nicht zuordnen können.
Wenn Sie das nicht selbst verwalten
Viele Schweizer KMU setzen für Webseite, Onlineshop oder automatisierte Workflows auf externe Entwickler, Agenturen oder Freelancer. Wenn das auf Sie zutrifft, gehen Sie nicht davon aus, dass das "nicht Ihre Aufgabe" ist – fragen Sie direkt nach: Läuft GitHub Actions mit Verbindung zu einem Cloud-Konto, und wurde seit Dienstag auf wfx-loot-Spuren geprüft? Eine kurze Frage heute kann wochenlange Aufräumarbeit später ersparen.
Genau solche Bedrohungen kündigen sich nicht an – keine Lösegeldforderung, kein gesperrter Bildschirm, nur eine still offengelassene Tür in Ihre Cloud-Infrastruktur. Es zeigt auch, warum Automatisierung und IT-Sicherheit zusammen gedacht werden müssen, nicht getrennt: Jede verbundene Pipeline und Integration ist ein möglicher Zugangspunkt. Bei Flitz.ai unterstützen wir Unternehmen dabei, ihre Abläufe sicher zu automatisieren – inklusive der Frage, ob die Verbindungen zwischen Ihren Tools nicht selbst zur Schwachstelle werden.
Wir beobachten dieses Thema weiter. Solche Lieferketten-Angriffe gehören mittlerweile zum normalen Wochenrhythmus im digitalen Geschäftsalltag – wer konsequent prüft, bleibt aus den Schlagzeilen.
Schweiz.