Campanha Megalodon mira cadeias de CI/CD e ameaça devs no Brasil
GitHub — Uma ofensiva automatizada batizada de Megalodon comprometeu mais de 5 mil projetos de código aberto e privado em poucas horas, trocando arquivos do GitHub Actions por backdoors silenciosos que coletam credenciais de nuvem.
- Em resumo: fluxos de CI infectados roubam tokens AWS, Azure e Google Cloud sem levantar alertas.
Como o Megalodon passou despercebido em milhares de commits
De acordo com análise da SafeDep, os atacantes criaram contas descartáveis que imitavam bots legítimos de integração contínua e injetaram workflows maliciosos em massa. Cada commit executava um script de 111 linhas que exfiltrava variáveis de ambiente para um servidor de comando e controle, prática semelhante a incidentes pesquisados pelo TechCrunch.
“O gatilho workflow_dispatch permite que o backdoor fique invisível no histórico de builds e só seja acionado quando o invasor quiser”, detalha o relatório técnico.
O que isso muda para desenvolvedores, empresas e gamers brasileiros
Além de grandes projetos internacionais, pacotes usados por estúdios indie e devs de jogos mobile no Brasil, como o @tiledesk/tiledesk-server, foram infectados entre as versões 2.18.6 e 2.18.12. Caso o token roubado dê acesso a servidores de matchmaking ou APIs de pagamento, os jogadores podem enfrentar desde quedas de serviço até vazamento de dados pessoais.
Especialistas recomendam:
- Reverter commits feitos entre 11h36 e 17h48 UTC de 18/05/2026 por ci-bot ou build-bot.
- Regenerar todos os segredos no GitHub e chaves de nuvem associadas.
- Ativar auth de dois fatores e limitar escopos de tokens.
Meu projeto usa GitHub Actions. Estou em risco?
Sim, se recebeu commits de bots suspeitos na data do ataque. Audite o histórico e os arquivos YAML.
Existe correção oficial do GitHub?
O GitHub removeu repositórios comprometidos, mas a restauração de tokens depende dos mantenedores.
E você? Já auditou seus workflows depois do ataque? Para ficar por dentro de alertas de segurança e tendências, acompanhe nossa editoria especializada.
Crédito da imagem: Divulgação / Ox Security
