ภายในเหตุการณ์โจมตี GitHub แบบซัพพลายเชน “Megalodon”

การโจมตี GitHub CI/CD ครั้งใหญ่ในเวลาไม่กี่ชั่วโมง

วันที่ 18 พฤษภาคม 2026 นักวิจัยด้านความปลอดภัยตรวจพบการโจมตีซัพพลายเชนซอฟต์แวร์ครั้งใหญ่ที่ถูกตั้งชื่อว่า “Megalodon” ภายในเวลาประมาณหกชั่วโมง ผู้โจมตีสามารถส่ง คอมมิตอันตราย 5,718 ครั้งไปยัง GitHub repositories จำนวน 5,561 แห่ง ซึ่งถือเป็นหนึ่งในแคมเปญโจมตีแบบอัตโนมัติที่ใหญ่ที่สุดที่เคยพบในแพลตฟอร์มนี้

แทนที่จะแก้ไขโค้ดของแอปพลิเคชันโดยตรง ผู้โจมตีเลือกแทรก ไฟล์ workflow ของ GitHub Actions ที่มีโค้ดอันตราย เมื่อระบบ CI/CD ของรีโปทำงาน workflow เหล่านี้จะถูกเรียกใช้และพยายามดึงข้อมูลลับจาก environment ของระบบ build

จากข้อมูลการวิเคราะห์ แคมเปญนี้ทำงานช่วงประมาณ 11:36 ถึง 17:48 UTC ในวันเดียวกัน ซึ่งบ่งชี้ว่ามีระบบอัตโนมัติขนาดใหญ่คอยยิงคอมมิตเข้าไปยังรีโปจำนวนมากก่อนที่ผู้ดูแลจะทันสังเกตเห็น

ผู้โจมตีสามารถส่งคอมมิตจำนวนมหาศาลได้อย่างไร

หัวใจของการโจมตีคือการผสมผสานระหว่างระบบอัตโนมัติและการปลอมตัวให้เหมือนกระบวนการ CI ปกติ

ปลอมตัวเป็นบอท CI

ผู้โจมตีสร้างบัญชี GitHub แบบใช้ครั้งเดียว (throwaway accounts) พร้อมชื่อแบบสุ่ม และปลอมตัวเป็นระบบ automation เช่น

• build-bot
• auto-ci
• ci-bot
• pipeline-bot

ชื่อเหล่านี้ทำให้คอมมิตดูเหมือนมาจากระบบ build หรือบอท CI ปกติ มากกว่าจะเป็นผู้โจมตีจริง

ปลอม metadata ของคอมมิต

ข้อมูลผู้เขียนคอมมิตและข้อความ commit message ถูกสร้างให้ดูเหมือนการปรับปรุง workflow หรือการตั้งค่า CI ทั่วไป เช่นการอัปเดต pipeline ทำให้คอมมิตกลมกลืนกับกิจกรรมพัฒนาปกติในรีโป

เล็งเป้ารีโปที่ไม่มี Branch Protection

แคมเปญนี้เลือกโจมตีรีโปที่ ไม่มี branch protection rules ที่เข้มงวด เช่น

• ไม่ต้อง review pull request
• ไม่จำกัดว่าใครแก้ไข workflow ได้

เมื่อไม่มีข้อจำกัดเหล่านี้ ผู้โจมตีสามารถ push workflow ใหม่เข้าไปยัง branch หลักของรีโปได้โดยตรง

แทรก GitHub Actions ที่ถูกวางมัลแวร์

ในแต่ละคอมมิตจะมีการเพิ่ม GitHub Actions workflow ที่ฝัง payload แบบ Base64‑encoded Bash script เมื่อ pipeline ทำงาน สคริปต์จะถูก decode และรันบน runner ของ GitHub Actions

กลยุทธ์นี้ทำให้การโจมตีหลายครั้งยังไม่แสดงผลทันที จนกว่าจะมีการรัน CI ครั้งถัดไป

ข้อมูลลับที่มัลแวร์พยายามขโมย

สคริปต์ Bash ที่ถูกเข้ารหัสใน workflow ถูกออกแบบมาเพื่อรวบรวมข้อมูลลับจาก environment ของ CI แล้วส่งไปยังเซิร์ฟเวอร์ของผู้โจมตี

เป้าหมายหลักที่รายงาน ได้แก่

• ตัวแปร environment ของ CI/CD
• credentials ของคลาวด์ เช่น AWS, Google Cloud และ Azure
• SSH private keys
• API tokens และ secrets ของแอปพลิเคชัน
• GitHub Actions OIDC tokens
• ข้อมูล configuration และ secret อื่น ๆ ที่ runner เข้าถึงได้

มัลแวร์จะรวบรวม environment variables ข้อมูลระบบ และ secrets ต่าง ๆ จาก runner ก่อนส่งออกไปยังเซิร์ฟเวอร์ควบคุม (C2) ของผู้โจมตี

ปัญหาคือระบบ CI/CD มักมี credential สำหรับ deploy หรือจัดการ infrastructure ดังนั้นหาก runner ถูกเจาะ ผู้โจมตีอาจเข้าถึง

• ระบบคลาวด์
• registry ของแพ็กเกจ
• pipeline deploy ไป production

ทำไมการขโมย OIDC Token ถึงอันตรายมาก

หนึ่งในเป้าหมายหลักของ payload คือ GitHub Actions OIDC token

ในระบบ CI/CD สมัยใหม่ หลายทีมใช้ OpenID Connect (OIDC) เพื่อให้ pipeline ยืนยันตัวตนกับผู้ให้บริการคลาวด์โดยไม่ต้องเก็บ API key ระยะยาวไว้ในระบบ

แนวคิดคือ workflow จะขอโทเคนชั่วคราวจาก GitHub แล้วนำไปแลกกับ credential ชั่วคราวจากคลาวด์ เช่น AWS, Google Cloud หรือ Azure

แม้โทเคนเหล่านี้มีอายุสั้น แต่ถ้าผู้โจมตีขโมยได้ระหว่างที่ pipeline กำลังทำงาน พวกเขาอาจใช้โทเคนนั้น ปลอมตัวเป็น pipeline ขององค์กร เพื่อขอสิทธิ์เข้าถึงคลาวด์ได้ชั่วคราว

ผลลัพธ์อาจนำไปสู่

• การเข้าถึงระบบคลาวด์
• การควบคุม pipeline deploy
• การดึง secrets จากบริการคลาวด์

ดังนั้นแม้จะเป็น credential อายุสั้น แต่สิทธิ์ที่ผูกกับมันอาจมีมูลค่าสูงมาก

เหตุการณ์นี้เกี่ยวข้องกับการรั่วไหลของ GitHub จาก VS Code หรือไม่

ในช่วงเวลาใกล้กัน GitHub ยังเปิดเผยเหตุการณ์ด้านความปลอดภัยอีกกรณีหนึ่ง คือ VS Code extension ที่ถูกฝังมัลแวร์ ซึ่งถูกติดตั้งบนเครื่องพนักงานของ GitHub

มัลแวร์ใน extension นี้ทำให้ผู้โจมตีสามารถเข้าถึง ประมาณ 3,800 internal repositories ของ GitHub ก่อนที่จะถูกตรวจพบและควบคุมเหตุการณ์

เหตุการณ์ดังกล่าวเกิดจาก environment ของนักพัฒนาที่ถูกเจาะ และมีการขโมย credential ผ่าน extension ที่ถูกดัดแปลงใน marketplace ของ VS Code

แม้ว่าระยะเวลาและรูปแบบการโจมตีจะดูคล้ายกัน แต่ ยังไม่มีหลักฐานสาธารณะที่ยืนยันว่าการรั่วไหลของ GitHub ภายในเป็นสาเหตุโดยตรงของแคมเปญ Megalodon

ดังนั้นในตอนนี้ ผู้เชี่ยวชาญด้านความปลอดภัยมองว่าทั้งสองเหตุการณ์เป็น เหตุการณ์ซัพพลายเชนที่เกิดขึ้นในช่วงเวลาเดียวกัน มากกว่าจะเป็นปฏิบัติการเดียวกัน

บทเรียนสำคัญด้านความปลอดภัยของ CI/CD

เหตุการณ์ Megalodon แสดงให้เห็นว่า ผู้โจมตีสามารถใช้ automation เพื่อกระจายการโจมตีไปยังรีโปหลายพันแห่งได้ภายในเวลาไม่กี่ชั่วโมง

การโจมตีครั้งนี้ไม่ได้มุ่งเปลี่ยนโค้ดของแอป แต่เน้น เจาะระบบ automation ของการพัฒนา ซึ่งมักมี credential สำคัญจำนวนมาก

บทเรียนสำคัญสำหรับทีมพัฒนา ได้แก่

• ใช้ branch protection อย่างเข้มงวด
• บังคับ review ก่อนแก้ไข workflow
• จำกัด permission ของ CI jobs
• ตรวจสอบบัญชี automation และการเปลี่ยนแปลง workflow อย่างสม่ำเสมอ

เมื่อ pipeline พัฒนาซอฟต์แวร์เชื่อมต่อกับคลาวด์และระบบ production มากขึ้น ความปลอดภัยของ CI/CD จึงกลายเป็นส่วนสำคัญของการป้องกันซัพพลายเชนซอฟต์แวร์