Pengantar Insiden
Para peneliti keamanan siber baru saja mengungkapkan sebuah kampanye pencurian kredensial yang sedang berlangsung, yang menargetkan dua akun pemelihara open-source terkemuka. Dengan memanfaatkan akun Takashi Kitao, penulis engine game pyxel yang memiliki lebih dari 18.400 bintang, penyerang berhasil mendorong sebuah workflow berbahaya ke 27 repository pada pukul 13:20 UTC. Sejak saat itu, serangan tersebut telah menyebar ke lebih dari 340 repository di seluruh ekosistem GitHub.
Detail Teknis Ancaman
Serangan ini memanfaatkan fitur GitHub Actions, sebuah platform otomatisasi yang memungkinkan pengguna mengeksekusi skrip di dalam repository. Penyerang mengunggah sebuah file workflow berisi skrip shell yang berisi perintah untuk mengekstrak token akses pribadi (PAT) dan kredensial lain yang tersimpan di variabel lingkungan. Workflow tersebut kemudian mengirimkan data yang dicuri ke server command-and-control yang dikendalikan oleh penyerang. Karena GitHub Actions mengeksekusi skrip dalam konteks repository, setiap kali workflow dijalankan, token yang digunakan untuk mengakses API GitHub atau layanan lain dapat langsung dicuri.
Keberhasilan serangan ini bergantung pada dua faktor utama: (1) kredensial yang kuat namun tidak dilindungi dengan baik di akun pemelihara, dan (2) kurangnya mekanisme verifikasi terhadap workflow yang diupload. Penyerang memanfaatkan kelemahan dalam proses review workflow, sehingga tidak ada deteksi otomatis sebelum workflow dijalankan.
Dampak Ancaman
Konsekuensi dari serangan ini sangat luas. Token yang dicuri dapat digunakan untuk:
- Menjalankan aksi berbahaya di repository lain yang memiliki akses.
- Menarik data sensitif, termasuk kunci API, kredensial database, dan rahasia lainnya.
- Menjalankan serangan lateral, memanipulasi kode, atau menyisipkan backdoor ke dalam proyek open-source.
Selain itu, karena serangan ini menargetkan akun dengan reputasi tinggi, dampak kepercayaan komunitas open-source juga signifikan. Banyak proyek yang bergantung pada kontribusi eksternal kini harus meninjau ulang keamanan workflow mereka.
Rekomendasi Mitigasi dan Langkah Keamanan
Berikut langkah-langkah yang harus segera diambil oleh pengelola repository dan organisasi:
- Segera ganti semua token akses pribadi (PAT) yang terkait dengan akun yang terpengaruh.
- Aktifkan autentikasi dua faktor (2FA) untuk semua akun GitHub, terutama yang memiliki hak admin.
- Gunakan GitHub Secrets Scanning dan Dependabot alerts untuk mendeteksi kebocoran rahasia.
- Implementasikan review workflow manual sebelum diaktifkan, terutama untuk repository yang memiliki akses sensitif.
- Aktifkan GitHub Advanced Security jika tersedia, yang menyediakan fitur CodeQL dan Secret Scanning secara otomatis.
- Audit log aktivitas akun secara berkala untuk mendeteksi pola aktivitas yang tidak biasa.
Organisasi yang mengelola banyak repository harus mempertimbangkan penggunaan GitHub Enterprise dengan kontrol akses yang lebih ketat, serta menerapkan kebijakan least privilege pada token yang digunakan dalam workflow. Dengan langkah-langkah ini, risiko pencurian kredensial melalui GitHub Actions dapat diminimalkan secara signifikan.
Sumber Referensi: Artikel ini disadur secara otomatis dari publikasi asli. Untuk membaca selengkapnya, silakan kunjungi Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories.