Kampanye GhostAction Kembali, 345 Repositori GitHub Disusupi Workflow Pencuri Kredensial

Workflow itu bernama "Security Audit". Alih-alih mengaudit keamanan, ia menyisir seluruh riwayat git untuk mencari kunci rahasia yang pernah tertinggal, termasuk yang sudah lama dihapus pemiliknya.

Kampanye pencurian kredensial GhostAction kembali aktif dan menyusupkan workflow GitHub Actions berbahaya ke 345 repositori lewat dua akun maintainer yang dibobol pada Kamis (8/10/2026). Temuan ini dipublikasikan firma keamanan rantai pasok StepSecurity dalam laporan "GhostAction Returns" pada Jumat (9/10/2026).

Dua Akun Maintainer, Dua Gelombang Serangan

Gelombang pertama datang dari akun kitao milik Takashi Kitao, pembuat game engine pyxel yang punya sekitar 18.400 bintang di GitHub. Antara pukul 13.20 dan 13.44 UTC, akun itu mendorong workflow ke 27 repositori.

Delapan jam kemudian, akun henrywoo milik Henry Wu, penulis asli pustaka athenadriver milik Uber, menyebar workflow yang sama ke 318 repositori hanya dalam 16 menit, pukul 21.10 hingga 21.26 UTC. Dari jumlah itu, 279 merupakan fork. Proyek lain yang terdampak antara lain pyllama dan chatllama.

StepSecurity menyebut log eksekusi di repositori uber/athenadriver membuktikan data berhasil dicuri. Server penyerang mengonfirmasi penerimaan data empat detik setelah workflow mulai berjalan.

Kali Ini Riwayat Git Ikut Dikuras

Workflow bernama security-audit.yml itu mencuri secret GitHub Actions yang disebut namanya, kunci AWS, kunci API penyedia AI seperti OpenAI, Anthropic, dan OpenRouter, serta token GitHub dan GitLab. Menurut laporan The Hacker News, workflow memindai 13 pola kredensial dan mencocokkan ID kunci akses AWS dengan kunci rahasianya.

Kemampuan baru yang paling berbahaya adalah pemindaian seluruh riwayat git, bukan hanya isi repositori saat ini. Artinya, kunci yang pernah di-commit lalu dihapus bertahun-tahun lalu tetap bisa ditemukan. Data dikirim ke alamat IP mentah lewat HTTP biasa sehingga tidak meninggalkan jejak kueri DNS.

Workflow dipicu oleh setiap push ke cabang atau tag mana pun, dan juga bisa dijalankan manual. Itu sebabnya menghapus file hanya dari cabang utama tidak cukup.

Skala Sebenarnya Bisa Jauh Lebih Besar

Angka 345 hanya mencakup dua akun yang dilacak StepSecurity. Firma keamanan Socket, seperti dikutip The Hacker News, mencatat lebih dari 500 akun GitHub telah meng-commit workflow serupa ke puluhan ribu repositori sejak 7 Oktober 2026. Socket juga mengingatkan bahwa "Private forks and downstream mirrors are the most exposed."

GhostAction pertama kali terungkap pada September 2025. Saat itu, lebih dari 3.000 secret dicuri dari 817 repositori. Pola penyusupan lewat akun maintainer ini mengingatkan pada serangan worm Shai-Hulud di npm beberapa waktu lalu.

Penyerang diduga memperoleh kredensial maintainer dari personal access token (PAT) yang bocor, misalnya lewat log malware pencuri data atau tumpukan kredensial yang beredar.

Satu Pengaturan yang Memutus Rantai Serangan

Sehari sebelum gelombang utama, pada 7 Oktober, penyerang sempat mencoba memicu ulang workflow dengan commit kosong. Upaya itu gagal karena repositori mewajibkan persetujuan sebelum workflow dijalankan. StepSecurity menyebut kontrol satu pengaturan tersebut "broke the kill chain".

Firma itu juga menegaskan bahwa "Rotating current Actions secrets no longer addresses this exposure." Setiap secret yang pernah masuk ke repositori harus dianggap bocor.

Langkah yang Disarankan untuk Pemilik Repositori

StepSecurity merekomendasikan pemilik repositori merotasi semua kredensial yang pernah ada di riwayat git, mencabut token GitHub yang dipakai penyerang, dan menghapus workflow berbahaya dari semua cabang. Log workflow sejak 31 Agustus 2026 perlu diaudit, dan setiap eksekusi "Security Audit" yang selesai diperlakukan sebagai kebocoran terkonfirmasi.

Rilis paket juga sebaiknya ditunda sampai repositori bersih. Hingga laporan diterbitkan, belum ada rilis paket berbahaya, tetapi token publikasi ke PyPI, npm, crates.io, atau registri kontainer yang tersimpan di repositori terdampak harus dianggap sudah bocor. Fork dari repositori yang terinfeksi perlu dicek karena mengaktifkan Actions di fork bisa ikut menjalankan workflow.

Pertanyaan yang belum terjawab adalah berapa banyak token publikasi yang sudah berada di tangan penyerang, dan apakah gelombang berikutnya akan berupa paket berbahaya yang diunduh jutaan pengembang.