Di Balik Serangan Supply‑Chain GitHub “Megalodon”

Kampanye ini berlangsung kira‑kira antara 11:36 hingga 17:48 UTC, menunjukkan penggunaan sistem otomatis yang dirancang untuk menyerang ribuan repositori dengan sangat cepat sebelum pemelihara proyek menyadari perubahan tersebut.

Bagaimana ribuan commit bisa disuntikkan begitu cepat

Serangan Megalodon menggabungkan otomatisasi dengan teknik penyamaran agar perubahan terlihat seperti aktivitas CI normal.

Bot CI palsu dan akun sekali pakai

Penyerang membuat akun GitHub sementara dengan nama acak dan menyamar sebagai sistem otomatis, misalnya:

• build-bot
• auto-ci
• ci-bot
• pipeline-bot

Identitas ini membuat commit terlihat seperti pekerjaan otomatis rutin, bukan aktivitas manusia yang mencurigakan.

Metadata commit yang dipalsukan

Data penulis commit serta pesan commit dibuat menyerupai pembaruan CI biasa—misalnya perubahan konfigurasi pipeline atau update workflow. Teknik ini membantu commit berbahaya menyatu dengan aktivitas pengembangan normal dan menunda kecurigaan.

Menargetkan repositori dengan perlindungan branch lemah

Kampanye ini terutama menyasar repositori yang tidak memiliki aturan branch protection yang kuat. Tanpa persyaratan review pull request atau pembatasan perubahan workflow, penyerang dapat langsung mendorong perubahan ke branch utama.

Workflow GitHub Actions yang diracuni

Setiap commit berbahaya menambahkan workflow GitHub Actions yang berisi payload Bash yang dikodekan dalam Base64. Ketika pipeline CI berjalan, skrip tersebut dieksekusi di runner GitHub Actions dan mulai mengumpulkan kredensial dari lingkungan CI.

Akibatnya, serangan sering baru aktif ketika pipeline berikutnya dijalankan oleh proyek tersebut.

Data sensitif yang menjadi target

Payload Bash yang disisipkan dalam workflow dirancang untuk mengumpulkan data sensitif dari lingkungan CI dan mengirimkannya ke infrastruktur yang dikendalikan penyerang.

Target yang dilaporkan meliputi:

• variabel lingkungan CI/CD
• kredensial cloud (AWS, Google Cloud, Azure)
• SSH private key
• API token dan rahasia aplikasi
• token OIDC GitHub Actions
• konfigurasi atau rahasia lain yang tersedia di runner

Malware tersebut mengumpulkan variabel lingkungan, informasi sistem, dan kredensial yang dapat diakses oleh runner sebelum mengirimkannya ke server command‑and‑control milik penyerang.

Karena pipeline CI sering memiliki akses ke kredensial deployment, kompromi pada lingkungan build dapat membuka jalan ke infrastruktur cloud, registri paket, atau sistem produksi.

Mengapa pencurian token OIDC sangat berbahaya

Salah satu target utama payload Megalodon adalah token OIDC GitHub Actions.

Banyak pipeline CI/CD modern menggunakan federasi identitas OpenID Connect (OIDC) untuk mengautentikasi ke penyedia cloud tanpa menyimpan kredensial jangka panjang. Workflow akan meminta token identitas sementara yang kemudian ditukar dengan kredensial akses sementara di cloud.

Pendekatan ini meningkatkan keamanan karena tidak perlu menyimpan API key statis. Namun, ada risiko baru: jika penyerang berhasil mencuri token saat pipeline berjalan, mereka dapat menyamar sebagai identitas job CI tersebut.

Karena token ini dipercaya oleh sistem identitas cloud, token yang dicuri berpotensi ditukar dengan akses sementara ke layanan cloud dengan izin yang sama seperti pipeline deployment.

Dampak yang mungkin terjadi antara lain:

• akses ke infrastruktur cloud
• pembajakan pipeline deployment
• pengambilan rahasia dari layanan cloud

Walaupun token OIDC biasanya cepat kedaluwarsa, akses sementara yang diberikan sering kali cukup bernilai bagi penyerang.

Apakah terkait dengan kebocoran GitHub akibat ekstensi VS Code?

Pada periode yang hampir bersamaan, GitHub juga mengungkap insiden keamanan terpisah yang melibatkan ekstensi Visual Studio Code berbahaya yang terpasang pada perangkat seorang karyawan.

Ekstensi tersebut memungkinkan penyerang mengakses sekitar 3.800 repositori internal GitHub sebelum kompromi berhasil dihentikan.

Insiden itu dilacak ke lingkungan pengembang yang terinfeksi melalui ekstensi yang telah dimodifikasi secara jahat dan didistribusikan melalui marketplace VS Code.

Beberapa laporan keamanan mencatat kemiripan waktu dan taktik antara insiden tersebut dan serangan supply‑chain lain yang menargetkan alat pengembangan. Namun, belum ada bukti publik yang memastikan bahwa kebocoran internal GitHub secara langsung memungkinkan serangan Megalodon.

Untuk saat ini, kedua peristiwa tersebut lebih tepat dipahami sebagai dua insiden keamanan supply‑chain yang terjadi hampir bersamaan dalam ekosistem pengembang.

Pelajaran penting untuk keamanan CI/CD

Serangan Megalodon menunjukkan bagaimana otomatisasi dapat memperbesar dampak serangan supply‑chain dalam waktu singkat. Dengan memanfaatkan bot palsu, commit otomatis, dan workflow CI berbahaya, penyerang menjadikan infrastruktur build sebagai alat pencuri kredensial.

Insiden ini menegaskan beberapa praktik keamanan penting bagi tim pengembang:

• menerapkan aturan branch protection yang ketat
• mewajibkan review untuk perubahan workflow
• membatasi izin pada job CI
• memantau akun otomatisasi dan perubahan workflow

Seiring pipeline pengembangan semakin mengendalikan deployment cloud dan infrastruktur produksi, keamanan workflow CI/CD kini menjadi bagian penting dari pertahanan supply‑chain perangkat lunak.