Pencurian Kredensial Lewat GhostAction

Pencurian Kredensial Lewat GhostAction – Kampanye serangan rantai pasok (supply chain attack) yang dikenal sebagai GhostAction kini telah memperluas jangkauannya.

Pelaku ancaman tidak lagi hanya menyuntikkan alur kerja (workflows) GitHub Actions berbahaya ke dalam proyek yang disusupi, melainkan beralih melakukan phising terhadap para pengembang sumber terbuka (open-source developers) dan menebarkan malware pencuri data (stealer) yang disamarkan di dalam file font palsu.

Evolusi terbaru ini diungkapkan oleh para peneliti, yang menandakan bahwa pelaku di balik serangan ini secara aktif menyempurnakan modus operandi mereka sebagai respons atas tindakan pencegahan yang diterapkan oleh GitHub untuk memblokir alur kerja berbahaya tersebut.

Domain Palsu dan Phising Kredensial

Menurut platform intelijen ancaman, pelaku kejahatan mendaftarkan domain “my-github[.]com” dan mengarahkannya ke alamat IP 193.32.204[.]199. Alamat IP yang sama sebelumnya juga digunakan sebagai titik akhir eksfiltrasi untuk data yang dipanen dari alur kerja berbahaya terdahulu.

Domain tersebut didaftarkan pada 9 Oktober 2026, selang 17 hari setelah domain serupa bertema GitLab didaftarkan. Meskipun menggunakan pola penamaan yang mirip, para peneliti mencatat bahwa infrastruktur di balik domain tersebut berbeda dan saat ini belum ada bukti kuat yang mengaitkannya langsung dengan kelompok GhostAction yang sama.

Domain “my-github[.]com” langsung dimanfaatkan untuk melancarkan serangan phising melalui surel palsu yang menyamar sebagai peringatan keamanan GitHub kepada seorang pengelola proyek sumber terbuka (open-source maintainer):

Surel dikirimkan dari alamat noreply@my-github[.]com pada hari yang sama saat domain didaftarkan.
Pesan tersebut memperingatkan adanya upaya masuk (login) mencurigakan dari Moskow, Rusia, dan mengarahkan korban untuk mengeklik tautan guna mengamankan akun mereka.

Otomatisasi OAuth Device Flow Melalui Reverse Proxy

Halaman tiruan yang disiapkan bertindak sebagai reverse proxy, yang tidak hanya memanen kata sandi korban dan kode autentikasi dua faktor (2FA), tetapi juga menyuntikkan skrip JavaScript secara senyap untuk mengesahkan aplikasi OAuth.

Aplikasi OAuth tersebut diberikan izin luas untuk:

Membaca dan menulis repositori (repo).
Memodifikasi file alur kerja (workflow).
Mendapatkan visibilitas ke dalam keanggotaan organisasi (read:org).

Alih-alih menyuruh korban mengetik kode perangkat (device code) secara manual, perangkat phising ini mengotomatiskan seluruh tahapan melalui sesi proxy korban. Korban bahkan tidak perlu sadar sedang menyetujui aplikasi tersebut.

Dengan mencuri token OAuth yang memiliki cakupan repositori, penyerang mendapatkan kredensial API yang dapat digunakan kembali untuk mengotomatiskan injeksi file alur kerja berbahaya ke dalam direktori .github/workflows/.

Infostealer Berkedok File Font dan Tugas VS Code

Sebagai eskalasi serangan, para penyerang kini menyertakan komponen tahap kedua yang tetap bertahan di komputer pengembang meskipun alur kerja berbahaya di GitHub telah dihapus.

Pendekatan ini mirip dengan taktik yang sebelumnya sering diasosiasikan dengan kelompok peretas asal Korea Utara, yang melibatkan tiga file utama di dalam repositori:

1. File tasks.json Visual Studio Code (VS Code).

Dikonfigurasi dengan pemicu runOn: folderOpen, yang menyebabkan skrip berjalan secara otomatis begitu folder proyek tersebut dibuka di dalam aplikasi VS Code.

2. File Font Palsu (public/fonts/fa-solid-400.woff2).

Berisi payload pencuri data (stealer) yang dirancang untuk memanen:

Kunci API AWS.
Token PyPI dan npm.
Kredensial login Git.
Kredensial klaster Kubernetes.
Kkunci privat SSH.
Serta kredensial penyedia kecerdasan buatan untuk Anthropic Claude dan Google Gemini.

Nama file tersebut identik dengan kampanye Fake Font yang sempat dilaporkan sebelumnya.

3. Alur Kerja Cadangan GitHub Actions.

Alur kerja CI sekunder yang diaktifkan sebagai cadangan jika infostealer gagal berjalan, yang disamarkan dengan berbagai nama umum seperti lint.yml, ci-check.yml, build-check.yml, atau code-review.yml.

Tugas otomatis VS Code tersebut bertindak sebagai peluncur yang langsung menjalankan pencuri kredensial, memasang cron job untuk mengeksekusi kode berbahaya setiap lima menit.

Dan mengirimkan data curian ke server penyerang melalui protokol HTTP biasa pada port 8080. Sejauh ini, setidaknya 94 repositori terdampak oleh komponen tahap kedua ini.

Sebagian besar repositori yang menjadi korban tampak terbengkalai atau sudah lama tidak mendapatkan pembaruan komit (commit). Langkah ini diambil oleh pelaku untuk memindahkan aksi mereka ke tempat di mana kontrol keamanan GitHub tidak dapat menjangkaunya secara langsung.