Sebuah kampanye yang dilaporkan dibangun di sekitar token curian GitHub dan WFX stealer menempatkan sekitar 66.000 repositori dalam risiko, menurut liputan dari Cybernews. Para penyerang diduga menggunakan token akses curian untuk menanam file workflow berbahaya, mengubah pipeline pengembangan menjadi cara untuk mengumpulkan rahasia. Laporan yang tersedia singkat, jadi postingan ini berpegang pada apa yang telah dinyatakan dan berfokus pada langkah praktis yang dapat diambil pengembang sekarang.

Bagaimana token curian memungkinkan serangan workflow GitHub

Menurut laporan tersebut, kampanye ini menggunakan token curian untuk menambahkan workflow "WFX stealer" ke sekitar 66.000 repositori GitHub. Token adalah kredensial yang memungkinkan seseorang atau aplikasi bertindak atas suatu akun tanpa mengetik kata sandi. Jika penyerang memegang token valid dengan izin yang cukup, GitHub memperlakukan tindakan mereka sebagai sah.

Itulah yang membuat workflow menjadi target yang menarik. Workflow GitHub Actions adalah file yang disimpan dalam repositori yang berjalan secara otomatis, sering kali dengan akses ke rahasia yang digunakan proyek untuk membangun, menguji, dan men-deploy kode. Workflow berbahaya tidak perlu mengeksploitasi bug perangkat lunak. Workflow tersebut hanya perlu di-commit oleh seseorang yang diyakini GitHub berwenang, dan kemudian berjalan di dalam pipeline.

Ringkasan sumber tidak merinci bagaimana token awalnya dicuri, dan kami tidak akan menebak-nebak. Yang penting bagi pembaca adalah polanya: pipeline itu sendiri menjadi mekanisme pengiriman, dan kredensial yang membukanya adalah hadiah sesungguhnya.

Apa yang dapat diekspos oleh WFX stealer dari akun pengembang

Laporan tersebut menggambarkan workflow sebagai pencuri rahasia, dan sudut pandang yang disarankan mencatat bahwa pipeline CI/CD dapat menjadi jalur menuju rahasia dan akun pribadi pengembang. Secara praktis, stealer yang berjalan di pipeline mungkin berada dalam posisi untuk menjangkau apa pun yang dapat dijangkau pipeline tersebut. Contoh umum dari materi semacam itu meliputi:

  • Kunci API dan kredensial cloud yang disimpan sebagai rahasia repositori
  • Token deployment dan kredensial registri paket
  • Token GitHub lain yang tersedia untuk workflow

Data persis yang dikumpulkan WFX stealer belum dikonfirmasi dalam informasi yang kami miliki, jadi perlakukan daftar di atas sebagai kategori risiko yang umum untuk rahasia pipeline, bukan sebagai temuan terverifikasi tentang kampanye ini. Kekhawatiran yang lebih luas adalah bahwa satu token curian dapat menyebabkan lebih banyak token curian. Rahasia yang dipanen dari satu repositori mungkin membuka layanan lain, yang merupakan cara kompromi repositori dapat menyebar ke akun pribadi dan organisasi.

Ini sesuai dengan tema yang lebih luas yang pernah kami bahas sebelumnya: sistem yang seharusnya dipercaya orang malah dialihkan untuk melawan mereka. Tinjauan kami tentang bagaimana cacat zero-click Pixel dan serangan ScreenConnect pada MSP berbagi benang merah yang sama-sama tidak nyaman menunjukkan betapa seringnya alat yang dipercaya menjadi titik lemah.

Cara memeriksa apakah repositori Anda terdampak

Kami tidak dapat memberi tahu Anda apakah repositori tertentu ada dalam daftar yang terdampak, dan laporan yang tersedia tidak menerbitkannya. Anda tetap dapat mencari tanda-tanda manipulasi sendiri:

  1. Tinjau file workflow. Buka folder .github/workflows di setiap repositori dan cari file yang tidak Anda kenali, atau edit yang tidak Anda lakukan.
  2. Periksa riwayat commit dan pull request. Cari commit atau branch terbaru yang menyentuh workflow, terutama dari akun yang tidak dikenal atau pada waktu yang tidak biasa.
  3. Periksa log proses Actions. Proses yang tidak terduga, pemicu baru, atau langkah yang membuat permintaan jaringan keluar patut diperiksa lebih dekat.
  4. Tinjau log keamanan dan aplikasi yang diotorisasi. Di pengaturan GitHub, periksa token akses pribadi, aplikasi OAuth, dan GitHub Apps mana yang memiliki akses, dan hapus apa pun yang tidak Anda gunakan.
  5. Anggap terekspos jika Anda menemukan sesuatu. Perlakukan setiap rahasia yang dapat dibaca workflow tersebut sebagai terkompromi dan ganti.

Memperkuat GitHub: token, MFA, dan Actions pihak ketiga

Tidak ada dari langkah-langkah ini yang eksotis, tetapi bersama-sama mereka mengurangi apa yang dapat dilakukan token curian.

Rotasi dan perkecil token. Cabut token akses pribadi lama dan terbitkan yang baru dengan cakupan paling sempit dan masa berlaku paling pendek yang berfungsi. Token terperinci yang dibatasi untuk repositori tertentu lebih aman daripada token yang luas.

Aktifkan autentikasi multi-faktor. MFA melindungi login akun Anda, meskipun perlu diingat bahwa token curian mungkin melewati langkah login sepenuhnya. Itulah sebabnya kebersihan token sama pentingnya.

Batasi izin workflow. Atur token workflow default menjadi hanya-baca dan berikan akses tulis hanya di tempat yang benar-benar dibutuhkan oleh suatu job. Wajibkan tinjauan sebelum perubahan pada file workflow di-merge, misalnya melalui perlindungan branch dan code owners.

Periksa Actions pihak ketiga. Pin Actions ke commit tertentu alih-alih tag yang dapat berubah, dan utamakan yang berasal dari maintainer yang Anda percaya. Jauhkan rahasia dari job yang tidak membutuhkannya.

Apa Artinya Bagi Anda

Jika Anda memelihara bahkan proyek kecil di GitHub, file workflow Anda adalah bagian dari permukaan serangan Anda. Token curian dapat memungkinkan seseorang menambahkan workflow yang diam-diam membaca rahasia Anda, dan Anda mungkin tidak pernah melihat peringatan. Pengembang individu, maintainer open source, dan perusahaan dengan deployment otomatis semuanya termasuk dalam cakupan.

Kabar baiknya adalah pertahanan ini berada dalam kendali Anda dan hanya memakan sedikit waktu. Ini juga merupakan bagian dari pola berulang di mana penyerang mengejar akun dan alat yang sudah dipercaya orang. Liputan kami tentang Incransom mengklaim serangan terhadap TrRAC Inc. adalah jenis insiden yang berbeda, tetapi ini menggarisbawahi betapa cepatnya akses curian dapat berubah menjadi kerusakan nyata.

Kesimpulan yang dapat ditindaklanjuti

  • Rotasi token GitHub Anda hari ini dan hapus yang tidak lagi Anda gunakan.
  • Aktifkan MFA di setiap akun dengan akses repositori.
  • Audit file .github/workflows Anda untuk perubahan yang tidak Anda lakukan.
  • Atur izin workflow menjadi hanya-baca secara default dan pin Actions pihak ketiga.
  • Jika Anda menemukan sesuatu yang mencurigakan, ganti setiap rahasia yang dapat diakses workflow tersebut.

Laporan token curian GitHub WFX stealer masih berkembang, dan detailnya dapat berubah. Jangan menunggu konfirmasi untuk merapikan pengaturan Anda sendiri: rotasi token, aktifkan MFA, dan audit workflow Anda hari ini.