Komunitas pengembang software di seluruh dunia sempat menghadapi ancaman baru setelah terungkapnya kampanye serangan siber berskala besar bernama Megalodon. Serangan ini dilaporkan berhasil menyusupi lebih dari 5.500 repositori GitHub melalui commit berbahaya.
Commit berbahaya tersebut dirancang untuk mencuri kredensial, token akses, dan berbagai rahasia pengembangan software. Menurut temuan sejumlah peneliti keamanan siber, Megalodon memanfaatkan workflow GitHub Actions yang disisipkan ke dalam repositori target melalui commit otomatis yang tampak sah.
Dalam kurun waktu sekitar enam jam, pelaku berhasil mendorong lebih dari 5.700 commit berbahaya ke ribuan repositori publik. Skala serangan tersebut menjadikannya salah satu insiden supply chain attack terbesar yang pernah tercatat di ekosistem GitHub dalam beberapa tahun terakhir.
Peneliti keamanan menemukan bahwa pelaku menggunakan identitas palsu yang menyerupai akun bot otomatis, seperti build-bot, auto-ci, dan nama lain yang lazim digunakan dalam proses pengembangan software.
Tujuannya adalah membuat commit terlihat sebagai pembaruan rutin sehingga tidak menimbulkan kecurigaan dari pemilik repositori. Apabila commit tersebut diterima atau digabungkan ke dalam proyek, workflow GitHub Actions yang telah dimodifikasi akan dijalankan secara otomatis.
Pada tahap inilah malware mulai mengumpulkan berbagai informasi sensitif dari lingkungan CI/CD milik korban. Data yang menjadi sasaran mencakup token akses cloud, kredensial AWS, Google Cloud, Azure, kunci SSH, token OIDC, konfigurasi Kubernetes, kredensial Terraform, hingga berbagai rahasia yang tersimpan dalam pipeline pengembangan software.
Peneliti memperingatkan bahwa dampak Megalodon tidak hanya terbatas pada repositori yang terinfeksi secara langsung. Jika kode yang telah disusupi digunakan dalam proyek lain atau diterbitkan ke ekosistem software seperti npm, ancaman dapat menyebar lebih luas dan memengaruhi pengguna akhir.
Karakteristik inilah yang membuat Megalodon digolongkan sebagai serangan rantai pasok atau supply chain attack. Dalam skenario semacam ini, penyerang tidak menyerang pengguna secara langsung, melainkan menyusupi komponen yang dipercaya oleh banyak organisasi dan pengembang.
Sebagai informasi, beberapa analis keamanan bahkan menyebut Megalodon sebagai evolusi dari tren serangan yang sebelumnya menargetkan repositori GitHub dan paket open source melalui pencurian kredensial pengembang.
