Kampanye wfx-loot Bajak 4.837 Akun GitHub, Sasar Puluhan Ribu Repositori untuk Curi Rahasia CI

Pelaku tidak perlu mencari celah di GitHub Actions. Mereka cukup memegang token yang sah, membuka satu pull request pancingan, lalu menghapus jejaknya dalam hitungan menit.

Kampanye pencuri rahasia pipeline CI yang dinamai wfx-loot oleh peneliti Aikido menyebar di GitHub sejak Selasa (10/11/2026) sekitar pukul 12.45 UTC atau 19.45 WIB. Menurut laporan Aikido, 4.837 akun yang sudah dibobol membuka pull request (PR) uji di lebih dari 61.000 repositori. Kampanye ini juga diberitakan The Hacker News dan masih berlangsung pada Kamis (12/11/2026).

Tiga Langkah: Uji Akses, Pasang Skrip, Hapus Jejak

Langkah pertama adalah PR berjudul "docs: dependency audit notes" dari cabang bernama wfx-docs, yang berfungsi memastikan akun punya akses tulis. Peneliti Aikido, SafeDep, dan StepSecurity menyebut PR semacam itu saja sudah cukup sebagai tanda akun telah dibobol.

Berikutnya, penyerang memasang skrip shell polos tanpa pengaburan sepanjang sekitar 1.500 baris. Ada tiga jalur: langkah tambahan di workflow yang sudah ada, skrip tersembunyi bersama hook postinstall npm, atau berkas workflow baru di cabang berumur pendek berawalan chore/. Beberapa menit kemudian, commit dibatalkan dengan pesan seperti "ci: restore", dan riwayat eksekusi workflow beserta lognya dihapus. Nomor run yang hilang di riwayat Actions menjadi petunjuk utama bagi pemburu ancaman.

Yang Dicuri: Rahasia Repositori hingga Sesi Cloud

Skrip itu mengumpulkan rahasia dan variabel di tingkat repositori maupun organisasi, GITHUB_TOKEN milik workflow, token OIDC, berkas kredensial cloud dan registri paket, kunci penyedia AI, serta token yang tersimpan di memori runner. Token OIDC GitHub kemudian ditukar dengan sesi AWS, Azure, dan Google Cloud.

Akses itu dibuat bertahan. Menurut analisis Rescana yang merangkum para peneliti, skrip membuat kunci akses AWS baru, mengubah trust policy peran AWS, dan menambah kredensial federasi Entra ID bernama wfx-ci-*, sehingga rotasi rahasia awal belum tentu memutus akses. Data dikirim lewat HTTP POST ke port 8080. Sejak sekitar pukul 05.30 UTC Kamis (12.30 WIB), salinan baru mengirimkannya ke obrolan Telegram, sehingga memblokir alamat IP saja tidak cukup.

Cara Akun Dibobol Belum Terkonfirmasi

StepSecurity menyatakan kampanye ini tidak memanfaatkan bug di GitHub Actions, melainkan token yang valid. Dari 173 PR uji, tim itu menelusuri token yang diterbitkan untuk aplikasi GitHub milik Fly.io. Fly.io membantah sistemnya dibobol. Dalam pernyataan di forum komunitasnya, perusahaan itu menyebut token terbaca dari berkas .git/config yang disajikan publik oleh sebagian aplikasi pelanggan, dan mulai mencabut token pengguna aplikasi GitHub-nya.

Metode pembobolan secara umum belum dikonfirmasi. Analisis Rescana per Jumat (13/11/2026) pagi juga mencatat GitHub belum merilis pernyataan.

Skala Berbeda di Tiap Peneliti, Tiga Paket Ikut Beracun

Angka dari tiap peneliti memakai ukuran berbeda. Aikido mencatat stealer berjalan di sedikitnya 1.806 repositori, meski ringkasan laporannya menulis 1.835. SafeDep menghitung 8.093 repositori menerima commit berbahaya antara 10/11 pukul 12.46 UTC dan 12/11 pukul 04.36 UTC. StepSecurity melaporkan lebih dari 63.000 PR uji pada 12/11 pukul 07.40 UTC, dan OX Security lebih dari 66.200 pada hari yang sama.

Tiga paket juga terdampak: rilis 3.14.3 paket Packagist digitalelvis/neuronai-studio (versi 3.14.4 terbit Kamis), versi v1.0.278 dan v1.0.280 modul Go docker-env yang kini bernama redock (OX menambahkan v1.0.282), serta satu pseudo-version modul Go gocurl. SafeDep memeriksa 218 paket npm, Go, dan Packagist tanpa menemukan versi beracun lain, tetapi PyPI dan registri lain belum diperiksa.

Langkah yang Disarankan

Para peneliti menyarankan pengelola memeriksa semua repositori yang bisa mereka tulis sejak 10/11. Jika PR pancingan ditemukan, akun dianggap bobol: token akses pribadi, grant OAuth, kunci SSH, dan sesi dicabut, serta autentikasi dua faktor diwajibkan. Bila commit berbahaya mendarat di repositori yang Actions-nya aktif, semua rahasia yang bisa dibaca workflow harus dirotasi, dan mesin yang menjalankan npm install pada commit itu dianggap terkompromi. Aikido menilai kampanye ini tumpang tindih dengan gelombang GhostAction pada Oktober, tetapi tetap kampanye terpisah.

Insiden lain yang melibatkan kunci curian, yakni kunci API AI yang disalahgunakan hingga $740.000 di Railway, kami laporkan kemarin.

Pertanyaan yang belum terjawab ada dua: dari mana token awal para korban berasal, dan apakah GitHub akan mengumumkan langkah pencabutan massal.