Megalodon: 5.500 repos de GitHub con Actions maliciosos

Qué pasa

Más de 5.500 repositorios de GitHub han sido comprometidos en una campaña llamada Megalodon, un supply chain attack (cuando el atacante infecta las herramientas del desarrollador para llegar al objetivo, no lo ataca directamente) documentado por investigadores de seguridad.

El vector: *commits automatizados falsos*. Los atacantes inyectaron commits que aparentaban ser actualizaciones rutinarias de bots — el tipo de ruido que nadie revisa — pero que modificaban o añadían archivos bajo `.github/workflows/`. Esos workflows, al ejecutarse en el pipeline de CI/CD, enviaban a infraestructura controlada por los atacantes: credenciales, tokens de acceso, claves SSH, secretos de repositorio y variables de entorno sensibles.

El nombre Megalodon es una etiqueta de investigadores, no un CVE. No se ha asignado identificador de vulnerabilidad porque esto no explota un bug de producto — abusa de funcionalidad legítima de la plataforma.

Por qué importa

Los pipelines de CI/CD son el punto más privilegiado de toda la cadena de desarrollo. Un workflow de GitHub Actions puede leer `GITHUB_TOKEN`, secretos de repositorio y organización, variables de entorno de producción, y ejecutar comandos con permisos elevados — silenciosamente, en cada push o ejecución programada.

5.500 repositorios es una escala inusual. No es un ataque dirigido; es una campaña de volumen. Eso implica que los atacantes acumularon ya un pool enorme de secretos exfiltrados, incluyendo de organizaciones con código en producción.

El patrón "commit automatizado legítimo" es especialmente peligroso porque encaja con el ruido habitual de Dependabot, Renovate o bots de CI. Un equipo que no revisa diffs de workflows no lo detecta.

La cadena de daño real: secretos de CI → acceso a registros de contenedor (Docker Hub, ECR, GCR) → credenciales cloud (AWS, GCP, Azure) → acceso a producción. Un solo token robado puede escalar hasta compromiso total de infraestructura.

Qué hacer

• Audita ahora todos los archivos bajo `.github/workflows/` — cualquier cambio no reconocido en los últimos 90 días es sospechoso.
• Rota inmediatamente todos los secretos de repositorio y organización en GitHub Settings → Secrets.
• Activa GitHub secret scanning y push protection si no están habilitados.
• Revisa el historial de commits de workflows con `git log --all -- .github/workflows/` y cruza autores con contribuidores legítimos.
• Rota credenciales cloud (AWS keys, GCP service accounts, Azure service principals) expuestas como secrets en Actions.
• Configura permisos mínimos para `GITHUB_TOKEN` en cada workflow — nunca `write` por defecto.
• En organizaciones, activa la política de aprobación requerida para workflows de forks.

La lección técnica no es nueva pero sigue sin aplicarse: un archivo en `.github/workflows/` es código ejecutable privilegiado, no configuración. Megalodon explota exactamente esa brecha de atención a escala.