Peneliti Wiz melaporkan kampanye otomatis bernama Gheist yang memakai token GitHub curian untuk mencuri rahasia dari repositori korban. Wiz memantau aktivitas ini sejak 15 September 2026 dan menemukan lebih dari 13.500 cabang berbahaya yang tersebar di lebih dari 850 akun, mulai dari proyek pribadi sampai repositori privat perusahaan. Per 24 Oktober, kampanye itu masih berjalan.
Cara kerja tanpa server penyerang
Penyerang membawa token GitHub yang sudah bocor, lalu mendorong sebuah workflow ke cabang baru di setiap repositori yang bisa dijangkau token itu. Workflow tersebut mencetak seluruh rahasia pekerjaan ke dalam log GitHub Actions. Penyerang mengunduh log lewat API GitHub dan menghapus catatan eksekusinya dalam hitungan detik. Rahasia dikodekan lebih dulu sehingga lolos dari penyamaran otomatis GitHub.
Karena data keluar lewat GitHub sendiri, tidak ada domain atau server penyerang yang bisa diblokir tim keamanan. Nama kampanye berasal dari user agent “gheist” yang dikirim alat mereka. Menurut Wiz, token itu berasal dari log pencuri informasi dan dari token yang terekspos pada serangan rantai pasok sebelumnya, seperti kompromi pemindai Trivy pada Maret. Wiz belum bisa memastikan sumber setiap token.
Pola serupa pernah muncul di ekosistem paket, seperti yang kami laporkan pada worm npm testmetest yang menyusup ke 42 repositori GitHub.
Repositori privat paling rentan
GitHub sejak 28 Juli menahan workflow mencurigakan agar disetujui manusia dulu. Di repositori publik, Wiz tidak melihat satu pun muatan berjalan. Namun penahanan itu hanya berlaku untuk repositori publik di github.com. Repositori privat dan GitHub Enterprise Server tidak tercakup, dan Wiz mencatat serangan berhasil di sana. Dalam beberapa kasus, log AWS CloudTrail menunjukkan workflow pada cabang penyerang berhasil mengambil peran AWS milik organisasi korban.
Rahasia yang terancam mencakup semua yang bisa dibaca repositori, termasuk rahasia tingkat environment yang sering berisi kredensial produksi. Wiz juga menemukan varian yang menyasar runner self-hosted untuk mengambil kredensial server dan cloud. Sekitar dua pertiga akun yang terlibat sudah tidak ada di GitHub, kemungkinan setelah Wiz melapor.
Langkah yang perlu Anda ambil
Periksa repositori Anda untuk cabang berawalan ci-sync- dan log audit untuk eksekusi yang dihapus kurang dari semenit setelah berjalan. Daftar indikator lengkap ada di laporan Wiz. Bila menemukan jejaknya, putar ulang semua rahasia repositori, organisasi, dan environment, karena menghapus cabang atau log tidak membatalkan paparan. Cabut token yang dipakai mendorong commit dan periksa perangkat pemiliknya dari infostealer. Perlakukan runner self-hosted yang menjalankan workflow itu, beserta peran cloud-nya, sebagai sudah dibobol.
Untuk pencegahan, wajibkan peninjau pada environment produksi, batasi kepercayaan OIDC ke cabang atau environment yang dilindungi, dan ganti token personal berumur panjang dengan GitHub App atau token fine-grained berumur pendek. Tim di Indonesia yang memakai repositori privat atau GitHub Enterprise Server sebaiknya memeriksa ini lebih dulu, sebab merekalah yang tidak dilindungi penahanan workflow.
Sumber: Wiz Research dan The Hacker News. Gambar: Wiz Research.