Telset.id ā Sebanyak 4.837 akun GitHub yang diretas digunakan pelaku ancaman siber untuk membuka pull request di 61.764 repositori. Dari jumlah tersebut, setidaknya 1.835 repositori mengeksekusi payload berbahaya dan mengalami pencurian kredensial, termasuk token autentikasi serta kredensial AWS, Azure, dan Google Cloud.
Temuan ini diungkap peneliti keamanan siber Aikido dalam laporan terbaru mereka. Kampanye ini dilacak dengan nama wfx-loot, mengacu pada nama malware yang dipakai pelaku dan istilah untuk rahasia yang dicuri. Serangan menyasar GitHub, platform yang digunakan pengembang untuk mengerjakan proyek open source, tempat setiap proyek memiliki repositori berisi kode sumber, file konfigurasi, dan sumber daya lain.
Pelaku memanfaatkan beberapa fitur GitHub sekaligus, yaitu GitHub Actions dan workflows, dua fitur yang dirancang untuk mempercepat dan mengotomatiskan aktivitas tertentu. Pull request yang dikirim pelaku diberi judul docs: dependency audit notes dan berasal dari branch bernama wfx-docs. Pull request tersebut berfungsi sebagai probe, bukan serangan langsung, untuk melihat proyek mana yang bisa dimodifikasi.
Bagaimana Payload Ditanamkan
Dari lebih dari 60.000 pull request yang cocok dengan pola tersebut, lebih dari 10.000 menyasar repositori yang tidak dimiliki akun-akun yang dibajak, tetapi tetap bisa diakses. Setelah mendapatkan hak akses tulis, pelaku menggunakan salah satu dari tiga metode untuk menanam skrip berbahaya. Metode pertama adalah memodifikasi workflow GitHub Actions yang sudah ada. Metode kedua adalah menambahkan shell script yang dipicu oleh hook instalasi npm. Metode ketiga adalah membuat file workflow baru pada branch sementara.
Payload berisi sekitar 1.500 baris kode yang muncul di ketiga skenario tersebut. Kode itu mencari informasi sensitif di lingkungan yang sudah dikompromikan, mulai dari GitHub Actions secrets, token autentikasi, kredensial AWS, Azure, dan Google Cloud, file konfigurasi Docker dan Kubernetes, SSH keys, hingga API key untuk layanan AI seperti OpenAI dan Anthropic. Malware juga mencari file .env, private keys, serta kredensial milik tools seperti npm, PyPI, HashiCorp Vault, dan Terraform.
Selain mencuri, malware berupaya memperluas akses dengan menukar token yang dicuri menjadi sesi cloud, memalsukan service account, bahkan membuat kredensial baru. Pelaku juga memodifikasi konfigurasi AWS dan Azure agar akses tetap bertahan ketika korban merotasi kredensial yang sudah dikompromikan.
Baca Juga:
Jejak yang Dihapus dan Dampak ke Supply Chain
Aikido menyebut setidaknya 1.835 repositori mengeksekusi payload dan mengalami eksfiltrasi kredensial. Setelah itu, pelaku mengembalikan perubahan mereka dan menghapus log eksekusi workflow, kadang dalam waktu satu menit, untuk menutupi jejak dan mempersulit deteksi.
Kampanye wfx-loot juga disebut merembet ke rantai pasok perangkat lunak. Aikido menemukan paket PHP yang dikompromikan di Packagist serta dua versi modul Go yang terdampak. Meski demikian, peneliti menilai hal ini kemungkinan merupakan efek samping dari penyalahgunaan proses publikasi otomatis, bukan sesuatu yang memang direncanakan pelaku.
Serangan terhadap repositori dan kredensial cloud ini menambah deretan insiden keamanan yang menyasar infrastruktur digital. Sebelumnya, data agen FBI juga dilaporkan dicuri dalam serangan siber. Insiden semacam ini menegaskan bahwa kredensial dan token akses menjadi target utama pelaku keamanan siber.
Aikido menyarankan siapa pun yang repositorinya mengeksekusi payload berbahaya untuk menganggap semua rahasia dan kredensial cloud yang dapat diakses workflow mereka sebagai telah dikompromikan. Kredensial tersebut dinilai perlu segera dirotasi.
Bagi tim pengembang, kasus ini menunjukkan bahwa otomatisasi workflow bukan sekadar alat produktivitas, tetapi juga permukaan serangan yang perlu diaudit. Pengelolaan akses akun GitHub dan pemantauan pull request asing menjadi bagian penting dari pertahanan, terutama ketika workflow memiliki akses ke kredensial cloud yang sensitif.
Komentar
Belum ada komentar.