El 18 de mayo de 2026, GitHub sufrió un masivo ataque automatizado de cadena de suministro denominado "Megalodon". En menos de seis horas, la campaña logró inyectar puertas traseras maliciosas de CI/CD en más de 5.500 repositorios, convirtiéndose en una de las acciones de envenenamiento de GitHub Actions más agresivas registradas hasta la fecha, según el descubrimiento de SafeDep.

Un ataque masivo y automatizado a la cadena de suministro, cuyo nombre en código es "Megalodon", golpeó GitHub el 18 de mayo de 2026, inyectando puertas traseras maliciosas de CI/CD en más de 5.500 repositorios en menos de seis horas, marcando una de las campañas de envenenamiento de GitHub Actions más agresivas jamás registradas.

SafeDep descubrió que entre aproximadamente las 11:36 y las 17:48 UTC del 18 de mayo de 2026, la campaña Megalodon envió 5.718 commits maliciosos a 5.561 repositorios de GitHub utilizando cuentas desechables con nombres de usuario aleatorios de ocho caracteres.

El atacante falsificó identidades de autor como build-bot, auto-ci, ci-bot, pipeline-bot, con los correos electrónicos build-system@noreply.dev y ci-bot@automated.dev, imitando el mantenimiento rutinario y automatizado de CI.

Los mensajes de commit como "ci: add build optimization step" y "chore: optimize pipeline runtime" fueron diseñados deliberadamente para evadir una revisión de código superficial.

Variantes del Payload de Megalodon

La campaña desplegó dos variantes distintas de flujos de trabajo de GitHub Actions que comparten el mismo servidor C2 en 216.126.225.129:8443:

• SysDiag (Variante Masiva): Añadió un nuevo archivo .github/workflows/ci.yml que se activa en cada push y pull_request_target, asegurando la ejecución automatizada en cualquier commit en todas las ramas.
• Optimize-Build (Variante Dirigida): Reemplazó los flujos de trabajo existentes con un disparador workflow_dispatch, creando una puerta trasera latente que el atacante puede activar silenciosamente a petición mediante la API de GitHub, sin producir ejecuciones de CI visibles ni fallos de compilación.

Ambas variantes solicitaron permisos elevados: id-token: write y actions: read, permitiendo el robo de tokens OIDC para la suplantación de identidad en la nube.

El payload de bash codificado en base64 —un script de 111 líneas— llevó a cabo una recolección agresiva y multifásica de credenciales una vez activado:

• Todas las variables de entorno de CI, /proc/*/environ y datos de entorno del PID 1.
• Credenciales de AWS (claves de acceso, claves secretas, tokens de sesión) en todos los perfiles configurados.
• Tokens de acceso de GCP a través de gcloud auth print-access-token.
• Credenciales en vivo de AWS IMDSv2, metadatos de GCP y puntos finales de Azure IMDS.
• Claves privadas SSH, configuraciones de autenticación de Docker, .npmrc, .netrc, configuraciones de Kubernetes, tokens de Vault y credenciales de Terraform.
• Código fuente escaneado con grep contra más de 30 patrones regex dirigidos a claves API, JWT, cadenas de conexión de bases de datos, claves PEM y tokens de nube.
• Tokens OIDC de GitHub Actions que permiten la suplantación directa de identidad en la nube.

El impacto más crítico del ataque afectó a Tiledesk, una plataforma de chat en vivo de código abierto. El atacante comprometió el repositorio de GitHub y reemplazó el flujo de trabajo legítimo de construcción de Docker con la puerta trasera Optimize-Build a través del commit acac5a9.

El mantenedor, sin saber que el repositorio estaba envenenado, publicó posteriormente las versiones de @tiledesk/tiledesk-server de la 2.18.6 a la 2.18.12 en npm, propagando la puerta trasera al registro de paquetes. El código de la aplicación permaneció intacto; solo cambió el archivo del flujo de trabajo.

Indicadores de Compromiso (IoC)

Indicador	Valor
Servidor C2	hxxp://216[.]126[.]225[.]129:8443
ID de Campaña	megalodon
Correos de Autor	build-system@noreply[.]dev, ci-bot@automated[.]dev
Nombres de Autor	build-bot, auto-ci, ci-bot, pipeline-bot
Flujo Masivo	.github/workflows/ci.yml (SysDiag)
Flujo Dirigido	Optimize-Build (workflow_dispatch)
Versiones npm Afectadas	@tiledesk/tiledesk-server 2.18.6–2.18.12
Commit Malicioso	acac5a9854650c4ae2883c4740bf87d34120c038

Mitigaciones

Tú y tu organización deberían actuar inmediatamente si cualquier repositorio recibe un commit de build-system@noreply[.]dev o ci-bot@automated[.]dev el 18 de mayo de 2026:

1. Revertir el commit malicioso y auditar todos los archivos .github/workflows/.
2. Rotar todos los secretos accesibles para los ejecutores de GitHub Actions: tokens, claves API, claves SSH, credenciales de nube.
3. Auditar los registros de la nube en busca de solicitudes anómalas de tokens OIDC provenientes de ejecuciones de flujos de trabajo desconocidos.
4. Revisar la pestaña de Actions para detectar ejecuciones inesperadas de workflow_dispatch.
5. Anclar las GitHub Actions a SHAs de commit específicos en lugar de etiquetas de versión mutables.
6. Implementar puertas de aprobación de flujos de trabajo para las solicitudes de extracción (pull requests) de colaboradores externos.

El motor de análisis de SafeDep marcó la campaña por primera vez tras detectar el payload codificado en base64 dentro de un archivo de flujo de trabajo empaquetado en @tiledesk/tiledesk-server@2.18.12, subrayando el valor de las herramientas automatizadas de escaneo de la cadena de suministro para capturar ataques que evaden la revisión de código tradicional.

Fuentes:
https://cybersecuritynews.com/megalodon-malware-github-repos/