El ataque de la cadena de suministro que involucra la acción de Github «TJ-Actions/Cambied-Files» comenzó como un ataque muy dirigido contra uno de los proyectos de código abierto de Coinbase, antes de evolucionar a algo más generalizado.
«La carga útil se centró en explotar el flujo público de CI/CD de uno de sus proyectos de código abierto: Agentkit, probablemente con el propósito de aprovecharlo para obtener más compromisos», dijo Palo Alto Networks Unit 42 en un informe. «Sin embargo, el atacante no pudo usar secretos de Coinbase o publicar paquetes».
El incidente salió a la luz el 14 de marzo de 2025, cuando se descubrió que «TJ-Actions/Change-Files» se vio comprometido a inyectar código que filtró secretos confidenciales de los repositorios que ejecutaban el flujo de trabajo. Se le ha asignado el identificador CVE CVE-2025-30066 (puntaje CVSS: 8.6).
Según Endor Labs, se estima que 218 repositorios de GitHub han expuesto sus secretos debido al ataque de la cadena de suministro, y la mayoría de la información filtrada incluye una «docena de credenciales» para Dockerhub, NPM y Amazon Web Services (AWS), así como GitHub Instalating Tokens.
«La escala inicial del ataque de la cadena de suministro sonó aterrador, considerando que decenas de miles de repositorios dependen de la acción de GitHub», dijo el investigador de seguridad Henrik Plate.
«Sin embargo, la profundización en los flujos de trabajo, sus corridas y secretos filtrados muestran que el impacto real es menor de lo previsto: ‘solo’ 218 repositorios filtrados secretos, y la mayoría de ellos son GitHub_tokens de corta duración, que expiran una vez que se completa una ejecución de flujo de trabajo».
Desde entonces, ha surgido que la etiqueta V1 de otra acción de GitHub llamada «ReviewDog/Action-Setup», que «TJ-Actions/cambió de archivos» se basa como una dependencia a través de «TJ-Actions/Eslint-Changed-Files», también se comprometió en el incidente de TJ-Actions con una carga útil similar. La violación de «ReviewDog/Action-Setup» se está rastreando como CVE-2025-30154 (puntaje CVSS: 8.6).
Se dice que la explotación de CVE-2025-30154 ha permitido al actor de amenaza no identificado obtener un token de acceso personal (PAT) asociado con «TJ-Actions/Cambied-Files», permitiéndoles modificar el apositorio y empujar el código malicioso, a su vez, impactando cada repositorio de Github que dependía de la acción.
«Cuando se ejecutó la acción TJ-Actions/Eslint-Changed-Files, los secretos de corredores de CI TJ-Actions/Cambied Files se filtraron, lo que permite a los atacantes robar las credenciales utilizadas en el corredor, incluido un token de acceso personal (Pat) perteneciente a la cuenta de usuario de TJ-Bot-Github,» Unidad 42 Investigadores Omer Gille, AviAd Hahami, Asi, Asi, y y y las Acciones de TJ-Bot, y Y y YiRiLts, y Y y YiNiTiLts, AVIATHS, AVILITTS, ASI, AVILITA AVITITALS, ASI AVITITA, ASI AVILTITAS, Y YABON Y YANTIL dicho.
Actualmente se sospecha que el atacante logró obtener acceso de alguna manera a un token con acceso de escritura a la organización ReviewDog para hacer las modificaciones deshonestas. Dicho esto, la forma en que puede haber sido adquirida esta ficha sigue siendo desconocida en esta etapa.
Además, se dice que el malicioso se compromete a «revisar dog/acción de acción» se llevó a cabo primero bifurcando el repositorio correspondiente, cometiendo cambios en él y luego creando una solicitud de extracción de bifurcación al repositorio original y, en última instancia, introduciendo comodidades arbitrarias, un escenario llamado un compromiso colgante.
«El atacante tomó medidas significativas para ocultar sus huellas utilizando diversas técnicas, como aprovechar las confirmaciones colgantes, crear múltiples cuentas temporales de usuarios de GitHub y ofuscando sus actividades en los registros de flujo de trabajo (especialmente en el ataque inicial de Coinbase)», Gil, Gerente de Investigación Senior de Palo Alto Networks, contó a The Hacker News. «Estos hallazgos indican que el atacante es altamente hábil y tiene una comprensión profunda de las amenazas de seguridad de CI/CD y las tácticas de ataque».
La Unidad 42 teorizó que la cuenta de usuario detrás de la solicitud de extracción de la horquilla «ILRMKCU86TJWP8» puede haber estado oculta de la vista pública después de que el atacante cambió de una dirección de correo electrónico legítima proporcionada durante el registro a un correo electrónico desechable (o anónimo) en violación de la política de Github.
Esto podría haber causado que todas las interacciones y acciones realizadas por el usuario estén ocultas. Sin embargo, cuando se contactó para hacer comentarios, Github no confirmó ni negó la hipótesis, pero dijo que está revisando activamente la situación y tomando medidas según sea necesario.
«Actualmente no hay evidencia que sugiera un compromiso de GitHub o sus sistemas. Los proyectos destacados son proyectos de código abierto mantenidos por los usuarios», dijo un portavoz de GitHub a The Hacker News.
«GitHub continúa revisando y tomando medidas sobre los informes de los usuarios relacionados con el contenido del repositorio, incluidos el malware y otros ataques maliciosos, de acuerdo con las políticas de uso aceptables de GitHub. Los usuarios siempre deben revisar las acciones de GitHub o cualquier otro paquete que estén utilizando en su código antes de actualizar las nuevas versiones. Eso sigue siendo cierto aquí como en todas las demás casos de uso de un tercer código».
Una búsqueda más profunda de GitHub Forks of TJ-Actions/Cambied-Files ha llevado al descubrimiento de otras dos cuentas «2ft2dko28uaztz» y «mmvojwip», que desde entonces se han eliminado de la plataforma. También se ha encontrado que ambas cuentas crean horquillas de repositorios relacionados con Coinbase como Onchainkit, AgentKit y X402.
Un examen más detallado ha descubierto que las cuentas modificaron el archivo «ChangeLog.yml» en el repositorio de AgentKit utilizando una solicitud de extracción de horquillas para señalar una versión maliciosa de «TJ-Actions/Change-Files» publicada anteriormente usando el PAT.
Se cree que el atacante obtuvo un token de GitHub con permisos de escritura al repositorio de agente, a su vez facilitado por la ejecución de las acciones de Github TJ-Actions/Cambied-Files, para realizar los cambios no autorizados.
Otro aspecto importante que vale la pena destacar es la diferencia en las cargas útiles utilizadas en ambos casos, lo que indica los intentos de parte del atacante de permanecer bajo el radar.
«El atacante usó diferentes cargas útiles en diferentes etapas del ataque. Por ejemplo, en el ataque generalizado, el atacante abandonó la memoria del corredor y los secretos impresos almacenados como variables de entorno para el registro del flujo de trabajo, independientemente de qué flujo de trabajo se estaba ejecutando», dijo Gil.
«Sin embargo, al apuntar a Coinbase, el atacante obtuvo específicamente el GitHub_Token y aseguró que la carga útil solo se ejecutaría si el repositorio pertenecía a Coinbase».
Actualmente no se sabe cuál era el objetivo final de la campaña, se sospecha «fuertemente» que la intención era una ganancia financiera, probablemente intentando llevar al robo de criptomonedas, dada la orientación hiperpecífica de Coinbase, señaló Gil. A partir del 19 de marzo de 2025, el intercambio de criptomonedas ha remediado el ataque.
Tampoco está claro qué llevó al atacante a cambiar de marcha, convirtiendo lo que fue un ataque inicialmente dirigido convertido en una campaña a gran escala y menos sigilosa.
«Una hipótesis es que después de darse cuenta de que no podían aprovechar su token para envenenar el repositorio de Coinbase, y al enterarse de que Coinbase había detectado y mitigado el ataque, el atacante temía perder acceso a la acción de TJ-Actions/Change-Files», dijo Gil.
«Dado que el compromiso de esta acción podría proporcionar acceso a muchos otros proyectos, pueden haber decidido actuar rápidamente. Esto podría explicar por qué lanzaron el ataque generalizado solo 20 minutos después de que Coinbase mitigó la exposición a su parte a pesar del mayor riesgo de detección».
