Ataque Megalodon: campanha automatizada compromete mais de 5,5 mil repositórios no GitHub em apenas seis horas

Mais de 5,5 mil repositórios comprometidos em tempo recorde

Uma operação cibernética de proporções alarmantes varreu o GitHub na tarde do dia 18 de maio de 2026: em apenas seis horas — entre 11h36 e 17h48 no horário UTC —, uma campanha automatizada comprometeu 5.561 repositórios e despejou 5.718 commits maliciosos na plataforma. O episódio, identificado pelos pesquisadores como Ataque Megalodon, foi mapeado pela empresa de segurança SafeDep e representa um dos maiores incidentes de comprometimento em massa da história do GitHub. Trata-se de um evento inteiramente distinto da invasão anterior atribuída ao grupo TeamPCP, que havia afetado repositórios internos da própria Microsoft.

Como o ataque foi executado

A sofisticação da operação residiu na sua capacidade de se camuflar dentro do próprio ecossistema do GitHub Actions. Os atacantes criaram contas descartáveis com nomes aleatórios de oito caracteres e falsificaram identidades de bots legítimos amplamente usados em pipelines de integração contínua — nomes como "build-bot" e "ci-bot" foram empregados para que os commits maliciosos passassem despercebidos em auditorias superficiais. As mensagens associadas aos commits simulavam operações rotineiras de manutenção de pipeline, reduzindo a chance de detecção imediata por equipes de desenvolvimento.

A campanha operou por meio de duas variantes distintas de workflow. A primeira, chamada SysDiag, se ativava automaticamente a cada push ou pull request, garantindo ampla propagação. A segunda, denominada Optimize-Build, substituía workflows legítimos já existentes, porém usava gatilhos manuais — o que a tornava virtualmente invisível no histórico de atividades automáticas dos repositórios afetados. Em ambos os casos, o núcleo do ataque era idêntico: arquivos de workflow do GitHub Actions contendo scripts em Bash ofuscados em Base64, que, após o merge, executavam silenciosamente no pipeline CI/CD e transmitiam dados coletados para um servidor de comando e controle hospedado no endereço 216.126.225.129:8443.

Credenciais de nuvem e tokens no alvo

O escopo dos dados roubados revela o tamanho da ameaça para organizações afetadas. O script malicioso operava em cinco fases sequenciais: capturava variáveis de ambiente contendo o GITHUB_TOKEN; lia o conteúdo de 27 categorias de arquivos de credenciais, incluindo chaves SSH, configurações AWS e tokens Docker; extraía credenciais dos serviços de metadados da Amazon Web Services, Google Cloud e Microsoft Azure; varria o código-fonte em busca de mais de 30 padrões de segredos hardcoded; e, por fim, roubava tokens OpenID Connect (OIDC) do GitHub Actions, possibilitando acesso direto a serviços de nuvem sem necessidade de senha convencional. Os pesquisadores identificaram ainda 3.500 arquivos YAML adicionais com configuração idêntica à do ataque, sugerindo uma infraestrutura preparada para escalar ainda mais a operação.

Atribuição e contexto mais amplo

A SafeDep atribuiu o Ataque Megalodon ao grupo TeamPCP, uma organização conectada a fóruns underground como o BreachForums e a coletivos de extorsão como LAPSUS$ e VECT. O grupo já havia sido responsabilizado por campanhas anteriores contra projetos de alto perfil, incluindo TanStack, Grafana Labs, OpenAI e Mistral AI, indicando um padrão de ataques direcionados à cadeia de suprimentos de software. Como consequência parcial do incidente, o npm invalidou tokens de acesso granulares associados a pacotes comprometidos — medida que, contudo, não desfaz o vazamento das credenciais já capturadas pelo malware durante a janela de seis horas em que o ataque operou livremente.

O que fazer agora

Equipes de desenvolvimento que mantêm repositórios públicos ou privados no GitHub devem revisar imediatamente o histórico de commits e workflows do GitHub Actions em busca de arquivos YAML não autorizados, especialmente aqueles criados por contas desconhecidas com padrões de nomenclatura aleatórios. A rotação de segredos armazenados em variáveis de ambiente CI/CD, chaves SSH e credenciais de nuvem é recomendada como medida preventiva. O episódio reforça a urgência de auditorias contínuas sobre pipelines de integração contínua, que se tornaram vetores cada vez mais explorados por grupos de ameaça avançada.

Fonte: TecMundo, com informações adicionais de CyberSecBrazil e Braining Digital.