Serangan rantai pasokan yang melibatkan aksi GitHub “TJ-aksi/Changes-Files” dimulai sebagai serangan yang sangat ditargetkan terhadap salah satu proyek sumber terbuka Coinbase, sebelum berevolusi menjadi sesuatu yang lebih luas dalam ruang lingkup.
“Payload difokuskan pada mengeksploitasi aliran CI/CD publik dari salah satu proyek open source mereka – AgenKit, mungkin dengan tujuan memanfaatkannya untuk kompromi lebih lanjut,” kata Palo Alto Networks Unit 42 dalam sebuah laporan. “Namun, penyerang tidak dapat menggunakan rahasia Coinbase atau menerbitkan paket.”
Kejadian itu terungkap pada 14 Maret 2025, ketika ditemukan bahwa “TJ-aksi/Change-Files” dikompromikan untuk menyuntikkan kode yang membocorkan rahasia sensitif dari repositori yang menjalankan alur kerja. Telah ditetapkan pengidentifikasi CVE CVE-2025-30066 (skor CVSS: 8.6).
Menurut Endor Labs, 218 repositori GitHub diperkirakan telah mengekspos rahasia mereka karena serangan rantai pasokan, dan sebagian besar informasi yang bocor mencakup kredensial “beberapa lusin” untuk Dockerhub, NPM, dan Amazon Web Services (AWS), serta github instal instal ke token akses.
“Skala awal serangan rantai pasokan terdengar menakutkan, mengingat bahwa puluhan ribu repositori bergantung pada tindakan GitHub,” kata peneliti keamanan Henrik Plate.
“Namun, mengebor ke dalam alur kerja, run dan rahasia bocor mereka menunjukkan bahwa dampak aktual lebih kecil dari yang diantisipasi: 'hanya' 218 repositori bocor rahasia, dan sebagian besar dari mereka adalah github_tokens yang berumur pendek, yang kedaluwarsa setelah menjalankan alur kerja selesai.”
Sejak itu, telah muncul bahwa tag V1 dari tindakan GitHub lain yang disebut “ReviewDog/Action-Setup,” yang “tindakan-TJ-aksi/diubah” bergantung pada ketergantungan melalui “aksi-aksi/Eslint-changed-Files,” juga dikompromikan dalam memimpin pada insiden aksi TJ-TJ dengan pembayaran yang sama. ” Pelanggaran “ReviewDog/Action-Setup” sedang dilacak sebagai CVE-2025-30154 (skor CVSS: 8.6).
Eksploitasi CVE-2025-30154 dikatakan telah memungkinkan aktor ancaman yang tidak dikenal untuk mendapatkan token akses pribadi (PAT) yang terkait dengan “tindakan TJ-aksi/yang diubah,” dengan demikian memungkinkan mereka untuk memodifikasi repositori dan mendorong kode jahat, pada gilirannya memengaruhi setiap gudang github yang tergantung pada tindakan tersebut.
“When the tj-actions/eslint-changed-files action was executed, the tj-actions/changed-files CI runner's secrets were leaked, allowing the attackers to steal the credentials used in the runner, including a Personal Access Token (PAT) belonging to the tj-bot-actions GitHub user account,” Unit 42 researchers Omer Gil, Aviad Hahami, Asi Greenholts, and Yaron Avital berkata.
Saat ini diduga bahwa penyerang berhasil mendapatkan akses ke token dengan akses menulis ke organisasi ReviewDog untuk membuat perubahan nakal. Yang mengatakan, cara token ini mungkin telah diperoleh masih belum diketahui pada tahap ini.
Selain itu, komitmen jahat untuk “ReviewDog/Action-setup” dikatakan telah dilakukan dengan terlebih dahulu untuk forking repositori yang sesuai, melakukan perubahan pada itu, dan kemudian membuat permintaan tarik garpu ke repositori asli dan akhirnya memperkenalkan komit-komit sewenang-wenang-sebuah skenario yang disebut komit dangling.
“Penyerang mengambil langkah -langkah signifikan untuk menyembunyikan jejak mereka menggunakan berbagai teknik, seperti memanfaatkan komitmen menggantung, membuat beberapa akun pengguna github sementara, dan mengaburkan kegiatan mereka dalam log alur kerja (terutama dalam serangan koin awal),” Gil, manajer peneliti senior di Palo Alto Networks, mengatakan kepada Hacker News. “Temuan ini menunjukkan bahwa penyerang sangat terampil dan memiliki pemahaman yang mendalam tentang ancaman keamanan CI/CD dan taktik serangan.”
Unit 42 berteori bahwa akun pengguna di balik permintaan tarik garpu “ILRMKCU86TJWP8” mungkin telah disembunyikan dari pandangan publik setelah penyerang beralih dari alamat email yang sah yang disediakan selama pendaftaran ke email yang dapat dibuang (atau anonim) yang melanggar kebijakan GitHub.
Ini bisa menyebabkan semua interaksi dan tindakan yang dilakukan oleh pengguna disembunyikan. Namun, ketika dihubungi untuk memberikan komentar, GitHub tidak mengkonfirmasi atau menyangkal hipotesis, tetapi mengatakan itu secara aktif meninjau situasi dan mengambil tindakan seperlunya.
“Saat ini tidak ada bukti untuk menyarankan kompromi github atau sistemnya. Proyek yang disorot adalah proyek sumber terbuka yang dipelihara pengguna,” kata juru bicara Github kepada Hacker News.
“GitHub terus meninjau dan mengambil tindakan pada laporan pengguna yang terkait dengan konten repositori, termasuk malware dan serangan jahat lainnya, sesuai dengan kebijakan penggunaan Github yang dapat diterima. Pengguna harus selalu meninjau tindakan GitHub atau paket lain yang mereka gunakan dalam kode mereka sebelum mereka memperbarui versi baru. Itu tetap benar di sini seperti dalam semua instance lain untuk menggunakan Kode Pihak Ketiga.
Pencarian yang lebih dalam untuk garpu GitHub dari aksi TJ-actions/yang diubah telah menyebabkan penemuan dua akun lain “2FT2DKO28UZTZ” dan “MMVOJWIP,” keduanya telah dihapus dari platform. Kedua akun tersebut juga telah ditemukan untuk membuat garpu repositori terkait Coinbase seperti Onchainkit, AgentKit, dan X402.
Pemeriksaan lebih lanjut telah mengungkap bahwa akun memodifikasi file “changelog.yml” di repositori agenKit menggunakan permintaan tarik garpu untuk menunjuk ke versi jahat “TJ-actions/changes-files” yang diterbitkan sebelumnya menggunakan PAT.
Penyerang diyakini telah memperoleh token GitHub dengan izin tulis ke Repositori AgenKit-pada gilirannya difasilitasi oleh pelaksanaan aksi-aksi TJ-aksi/perubahan-file GitHub-sehingga membuat perubahan yang tidak sah.
Aspek penting lain yang perlu disorot adalah perbedaan dalam muatan yang digunakan dalam kedua kasus, menunjukkan upaya dari penyerang untuk tetap di bawah radar.
“Penyerang menggunakan muatan yang berbeda pada berbagai tahap serangan. Misalnya, dalam serangan luas, penyerang mencampakkan memori pelari dan rahasia tercetak yang disimpan sebagai variabel lingkungan ke log alur kerja, terlepas dari alur kerja mana yang sedang berjalan,” kata Gil.
“Namun, ketika menargetkan Coinbase, penyerang secara khusus mengambil github_token dan memastikan bahwa muatan hanya akan dieksekusi jika repositori milik Coinbase.”
Saat ini tidak diketahui apa tujuan akhir kampanye itu, “sangat” mencurigai bahwa niatnya adalah keuntungan finansial, kemungkinan berusaha untuk melakukan pencurian cryptocurrency, mengingat penargetan koinbase yang hiper-spesifik, Gil menunjukkan. Pada 19 Maret 2025, pertukaran cryptocurrency telah memperbaiki serangan itu.
Juga tidak jelas apa yang mendorong penyerang untuk mengganti persneling, mengubah apa yang awalnya menjadi serangan yang ditargetkan menjadi kampanye skala besar dan kurang tersembunyi.
“Salah satu hipotesis adalah bahwa setelah menyadari bahwa mereka tidak dapat memanfaatkan token mereka untuk meracuni repositori Coinbase-dan setelah mengetahui bahwa Coinbase telah mendeteksi dan mengurangi serangan itu-penyerang khawatir kehilangan akses ke aksi TJ-aksi/perubahan file,” kata Gil.
“Karena mengorbankan tindakan ini dapat memberikan akses ke banyak proyek lain, mereka mungkin telah memutuskan untuk bertindak dengan cepat. Ini bisa menjelaskan mengapa mereka meluncurkan serangan luas hanya 20 menit setelah Coinbase mengurangi paparan pada akhirnya meskipun ada peningkatan risiko deteksi.”
