Megalodon compromette GitHub e Laravel-lang con backdoor massivi nella supply chain

Gli attacchi alla supply chain open source tornano a colpire in modo massiccio l’ecosistema software globale con due campagne parallele che coinvolgono GitHub, Laravel-lang e migliaia di applicazioni in produzione. L’operazione Megalodon ha compromesso 5.561 repository GitHub attraverso workflow CI/CD malevoli mentre il progetto Laravel-lang ha visto oltre 700 versioni storiche infettate con una backdoor RCE completa. Le campagne, rilevate tra il 18 e il 23 maggio 2026, dimostrano un salto di qualità negli attacchi contro le pipeline di sviluppo moderne. Gli aggressori hanno sfruttato accessi ai repository dei maintainer, automazioni software e workflow di build per esfiltrare segreti cloud, token OIDC, chiavi API e credenziali sensibili utilizzate in ambienti reali di produzione. Nel caso di Megalodon, i workflow compromessi hanno raccolto token AWS, Azure, GCP e segreti GitHub Actions direttamente durante le esecuzioni CI/CD. Nel caso di Laravel-lang, il malware si attiva automaticamente tramite l’autoloader di Composer e scarica un secondo stadio specializzato nel furto di password manager, wallet crypto e configurazioni Kubernetes. Le analisi pubblicate da SafeDep e Socket confermano che il danno potenziale riguarda migliaia di progetti downstream distribuiti nel cloud, nei data center e nelle infrastrutture aziendali.

Megalodon compromette migliaia di repository GitHub tramite workflow CI/CD

L’attacco Megalodon si è sviluppato il 18 maggio 2026 in una finestra temporale estremamente ridotta compresa tra le 11:36 e le 17:48 UTC. In meno di sei ore gli attaccanti hanno inserito 5.718 commit malevoli su 5.561 repository GitHub differenti. Per evitare rilevamenti immediati hanno utilizzato account usa-e-getta con nomi casuali di otto caratteri e identità apparentemente legittime come “build-bot” o “ci-bot”. I messaggi dei commit imitavano aggiornamenti normali di workflow CI/CD rendendo molto difficile distinguere il traffico malevolo dalle operazioni quotidiane di manutenzione software. Il payload modificava o sostituiva file presenti nella directory .github/workflows/ attivando esecuzioni automatiche tramite eventi push, pull_request_target o workflow_dispatch. Una variante particolarmente stealth richiedeva soltanto i permessi id-token: write e actions: read restando dormiente fino all’attivazione manuale tramite API. Il workflow malevolo decodificava uno script bash di 111 righe che contattava il server di comando e controllo all’indirizzo 216.126.225.129:8443 utilizzando il parametro identificativo “h=megalodon”. Uno dei casi più noti riguarda il pacchetto @tiledesk/tiledesk-server, nel quale le versioni dalla 2.18.6 alla 2.18.12 sono state pubblicate dal maintainer legittimo dopo la compromissione del repository originale.

Il malware Megalodon ruba token OIDC e credenziali cloud di produzione

Lo script utilizzato da Megalodon esegue una raccolta estremamente aggressiva di credenziali e segreti cloud in cinque fasi distinte. La prima consiste nell’estrazione di tutte le variabili d’ambiente dal processo corrente e da altri PID disponibili nel sistema. Successivamente il malware legge almeno 27 percorsi differenti dedicati a credenziali e configurazioni sensibili tra cui ~/.aws/credentials, chiavi SSH, ~/.docker/config.json e file Kubernetes come ~/.kube/config. Nella terza fase gli aggressori interrogano direttamente gli endpoint IMDS di AWS, Google Cloud Platform e Microsoft Azure per ottenere token di sessione temporanei utilizzabili immediatamente negli ambienti cloud compromessi. Lo script procede poi con la scansione dell’intero workspace alla ricerca di file .env, token API di servizi come Stripe, SendGrid o connection string verso database di produzione. L’ultima fase punta direttamente ai token GITHUB_TOKEN e soprattutto ai token OIDC ottenuti tramite ACTIONS_ID_TOKEN_REQUEST_URL. Questa tecnica consente agli attaccanti di impersonare workflow GitHub Actions verso provider cloud senza dover utilizzare segreti persistenti a lunga durata. Il malware usa inoltre istruzioni come set +e e || true per ignorare errori ed evitare crash del workflow, mantenendo così il comportamento malevolo il più invisibile possibile agli sviluppatori.

Laravel-lang distribuisce una backdoor RCE su oltre 700 versioni storiche

Tra il 22 e il 23 maggio 2026 gli attaccanti hanno compromesso quattro repository appartenenti all’organizzazione Laravel-lang pubblicando tag coordinati su oltre 700 versioni storiche dei pacchetti distribuiti tramite Packagist e Composer. I progetti coinvolti includono laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes e laravel-lang/actions. Il malware è stato inserito nel file src/helpers.php, registrato nella sezione autoload.files del file composer.json. Questa scelta rende l’esecuzione automatica e immediata ogni volta che Composer carica le dipendenze dell’applicazione.

La backdoor costruisce dinamicamente il dominio di comando e controllo flipboxstudio[.]info utilizzando tecniche di evasione come array_map(‘chr’) per sfuggire ai controlli statici e alle signature tradizionali. Una volta attivato, il malware scarica un payload secondario tramite connessione HTTPS verso https://flipboxstudio[.]info/payload disabilitando esplicitamente la verifica TLS. Il file viene poi salvato in una directory nascosta denominata .laravel_locale all’interno della cartella temporanea di sistema e avviato in background su piattaforme Linux, macOS e Windows senza richiedere ulteriori interazioni.

Il secondo stadio Laravel-lang ruba wallet crypto e password manager

Il payload secondario distribuito attraverso Laravel-lang rappresenta uno stealer cross-platform completo scritto in PHP. Il malware utilizza una chiave XOR hardcoded denominata k9X2mP7vL4nQ8wR1 per crittare tutte le informazioni prima dell’esfiltrazione verso il server remoto flipboxstudio.info/exfil. La campagna raccoglie dati sensibili attraverso almeno 17 collector differenti specializzati nel furto di credenziali cloud e infrastrutturali. Tra i target compaiono configurazioni di AWS, Azure, GCP, DigitalOcean, Heroku e Vercel, oltre a token Kubernetes, credenziali Vault, configurazioni Jenkins, GitLab e workflow GitHub Actions. Il malware tenta inoltre di sottrarre wallet crypto, estensioni browser, password manager come 1Password, Bitwarden e LastPass, oltre alla cronologia shell, file .git-credentials e variabili d’ambiente sensibili. Sui sistemi Windows il malware esegue il tool DebugChromium.exe per bypassare la protezione App-Bound di Google Chrome mentre su Linux legge direttamente i file /proc/[pid]/environ. Per evitare esecuzioni multiple sulla stessa macchina, il payload utilizza un identificatore univoco basato su hash MD5 dell’host compromesso. Il risultato finale è un furto massiccio di segreti che può propagarsi rapidamente verso ambienti cloud, cluster Kubernetes e pipeline DevOps aziendali.

Gli attacchi mostrano una nuova fase della guerra alla supply chain open source

Le campagne Megalodon e Laravel-lang condividono tecniche operative estremamente simili nonostante colpiscano ecosistemi differenti. Entrambe sfruttano l’accesso ai repository dei maintainer per modificare workflow automatici o file caricati direttamente durante l’installazione delle dipendenze. Megalodon utilizza la fiducia nei sistemi CI/CD per ottenere token cloud e sessioni temporanee mentre Laravel-lang sfrutta il meccanismo di autoload di Composer per eseguire codice remoto senza interazione da parte degli sviluppatori. In entrambi i casi il malware evita di alterare direttamente il codice applicativo principale, riducendo così la probabilità di individuazione durante le review tradizionali. La distribuzione tramite repository ufficiali, release firmate e pacchetti npm o Packagist rende queste campagne particolarmente pericolose perché trasformano aggiornamenti legittimi in vettori di compromissione downstream. Le analisi di Socket e SafeDep confermano che migliaia di organizzazioni potrebbero aver installato codice compromesso senza accorgersene. Questo tipo di attacco permette agli aggressori di scalare rapidamente da un singolo maintainer compromesso a migliaia di target reali in produzione.

GitHub Actions e Composer diventano vettori critici per gli attacchi moderni

Le due campagne evidenziano come gli strumenti di automazione software siano diventati uno dei bersagli principali della cybersecurity moderna. Workflow come GitHub Actions, pipeline CI/CD e meccanismi di installazione automatica come Composer vengono ormai considerati dagli attaccanti punti privilegiati per ottenere accesso a credenziali cloud e ambienti di sviluppo. Nel caso di Megalodon, l’utilizzo dei token OIDC rappresenta un’evoluzione significativa rispetto ai tradizionali furti di chiavi statiche. I token temporanei consentono infatti accessi immediati e difficili da tracciare verso provider cloud enterprise. Nel caso di Laravel-lang, invece, la forza dell’attacco deriva dalla capacità di eseguire codice in modo trasparente durante il bootstrap dell’applicazione. Entrambi i modelli mostrano come la fiducia automatica all’interno della supply chain software possa trasformarsi rapidamente in un punto di compromissione sistemica. Le aziende che utilizzano ambienti multi-cloud e pipeline automatizzate risultano particolarmente esposte perché spesso centralizzano credenziali, deployment e segreti direttamente nei workflow CI/CD.

Le mitigazioni richiedono controllo continuo su workflow e dipendenze

Le organizzazioni coinvolte stanno già lavorando alla rimozione delle release compromesse e alla pubblicazione di versioni pulite. I maintainer di Laravel-lang hanno eliminato i tag malevoli mentre Socket consiglia di aggiornare immediatamente tutti i pacchetti laravel-lang/ alle release ripristinate. Per quanto riguarda Megalodon, gli sviluppatori devono verificare attentamente la presenza di workflow sospetti nei repository GitHub controllando commit firmati da utenti “ci-bot” o “build-bot”. Le organizzazioni devono inoltre revocare tutti i token OIDC potenzialmente esposti e monitorare eventuali attività anomale sui provider cloud. Le mitigazioni suggerite includono l’uso di firme GPG per release e tag, branch protection rules più rigide, monitoraggio continuo delle pipeline CI/CD e strumenti avanzati di dependency analysis come SafeDep e Socket. Gli amministratori devono inoltre controllare i log di Composer, GitHub Actions e dei provider cloud alla ricerca di connessioni verso i domini di comando e controllo individuati durante le indagini. La rapidità di risposta diventa fondamentale perché il malware può propagarsi molto rapidamente attraverso aggiornamenti automatici e deployment continui.

Gli attacchi supply chain diventano la minaccia centrale per il software moderno

Le campagne Megalodon e Laravel-lang segnano un’ulteriore escalation nella sofisticazione degli attacchi contro la supply chain open source. Il numero di repository e versioni compromesse rende impossibile un triage completamente manuale e dimostra quanto gli ecosistemi software moderni siano interconnessi e fragili. Le organizzazioni devono rivedere profondamente i propri processi di review dei workflow CI/CD, dei pacchetti esterni e delle pipeline di deployment automatizzate. L’adozione di modelli zero-trust per credenziali cloud e secret management rappresenta ormai una necessità operativa e non più soltanto una best practice teorica. Anche l’utilizzo crescente di strumenti AI per il rilevamento delle anomalie, come quelli sperimentati da Anthropic nel progetto Glasswing, mostra che la cybersecurity dovrà affidarsi sempre di più ad analisi automatizzate ad alta velocità. Tuttavia il problema principale resta la capacità delle organizzazioni di reagire rapidamente alle compromissioni. In un ecosistema nel quale un singolo maintainer può diventare il punto d’ingresso verso migliaia di aziende, la sicurezza della supply chain software si conferma il nuovo fronte critico della cybersecurity globale.