Waspada Phishing GitHub: Peringatan Keamanan VS Code Palsu

Distribusi Otomatis Melalui GitHub Discussions

Kampanye ini ditandai dengan skalanya yang sangat masif. Para peneliti di Socket melaporkan bahwa ribuan pesan yang hampir identik muncul di berbagai repositori dalam waktu singkat. Penyerang mengeksploitasi fitur GitHub Discussions untuk menyebarkan peringatan keamanan palsu terkait Visual Studio Code. Karena fitur Discussions mengirimkan notifikasi melalui email kepada partisipan dan pengikut, pesan tersebut juga menjangkau pengembang di luar platform, sehingga meningkatkan kredibilitas dan jangkauan serangan. Metode ini memungkinkan aktor ancaman untuk melewati filter spam tradisional dengan mendaratkan umpan yang sangat meyakinkan langsung ke kotak masuk pengembang melalui platform yang tepercaya.

Gambar atas izin Cybersecurity News

Rekayasa Sosial dan Peringatan Keamanan Palsu

Unggahan palsu tersebut menyamar sebagai peringatan keamanan resmi (security advisory), menggunakan judul yang memicu kepanikan seperti "Visual Studio Code – Severe Vulnerability – Immediate Update Required" atau "Critical Exploit – Urgent Action Needed." Pesan-pesan ini sering kali mencantumkan identifikasi CVE fiktif dan versi spesifik VS Code untuk membangun kepercayaan. Dalam banyak kasus, penyerang meniru identitas pengelola repositori (maintainer) atau peneliti keamanan ternama. Pengguna didesak untuk menginstal versi "tambalan" (patched) melalui tautan unduhan eksternal, yang sering kali di-host di layanan berbagi file seperti Google Drive. Hal ini menyimpang dari prosedur resmi distribusi ekstensi VS Code, namun penggunaan layanan pihak ketiga yang populer membuat ancaman ini sulit dideteksi oleh pengembang yang sedang sibuk.

Pengalihan Bertingkat dan Profiling Browser

Analisis terhadap infrastruktur serangan mengungkapkan adanya Sistem Distribusi Trafik (TDS) yang canggih. Saat pengguna mengklik tautan, mereka diarahkan melalui titik akhir (endpoint) berbagi Google. Jalur tersebut kemudian terbagi: pengguna dengan cookie Google yang valid akan dialihkan ke domain perintah-dan-kontrol (C2) yang dikuasai penyerang, sementara mereka yang tidak memilikinya akan disuguhi halaman pemindaian sidik jari digital (fingerprinting). Infrastruktur ini menggunakan halaman JavaScript yang disamarkan (obfuscated) untuk mengumpulkan data seperti:

• Zona waktu dan lokalitas (locale)
• Informasi browser dan User Agent
• Platform sistem operasi
• Indikator analisis otomatis (misalnya, navigator.webdriver)

Mekanisme ini berfungsi sebagai lapisan penyaringan untuk membedakan korban asli dari bot atau peneliti keamanan.

Teknik Evasion dan Cuplikan Kode Pengintaian

Kampanye ini memanfaatkan skrip pengintaian JavaScript ringan yang sangat tersamar. Skrip ini tidak langsung menyisipkan malware, melainkan melakukan profiling terhadap lingkungan sistem untuk memastikan keberhasilan eksploitasi tahap berikutnya. Trik penghindaran (evasion) mencakup penggunaan filter CSS hue-rotate dan iframe tersembunyi untuk mendeteksi manipulasi lingkungan sistem. Cuplikan kode profiling yang telah dideobfuskasi menunjukkan bagaimana skrip tersebut menangkap status sistem:

let d = -new Date().getTimezoneOffset();  // UTC offset
let su = navigator.userAgent;             // User agent
// ... (seluruh data sidik jari dikirim secara senyap melalui POST)

Data yang terkumpul kemudian dienkripsi dan dikirimkan secara otomatis melalui formulir POST yang tidak terlihat ke server C2. Tingkat kesadaran akan keamanan digital seperti ini sangat krusial bagi pengembang, mengingat serangan ini merupakan ancaman yang terus berevolusi dengan menggabungkan rekayasa sosial dan penyalahgunaan platform.

Mitigasi dan Keamanan Pengembang

Untuk berlindung dari kampanye ini, para pengembang harus sangat waspada terhadap peringatan keamanan yang tidak diminta pada platform kolaborasi. Tambalan resmi untuk perangkat lunak atau IDE tidak akan pernah didistribusikan melalui tautan berbagi file pihak ketiga. Pakar keamanan merekomendasikan langkah-langkah berikut:

• Verifikasi semua klaim keamanan melalui saluran resmi Microsoft.
• Periksa dengan teliti notifikasi yang berasal dari akun yang baru dibuat atau memiliki aktivitas rendah.
• Laporkan Discussions yang mencurigakan langsung ke dukungan GitHub.
• Gunakan alat privasi online yang tangguh dan autentikasi multifaktor untuk melindungi lingkungan pengembangan Anda.

Analis VPN ahli dengan pengalaman lebih dari 8 tahun di bidang privasi online dan keamanan siber. Spesialis dalam teknologi VPN, keamanan digital, dan perlindungan privasi. Berdedikasi untuk membantu pengguna menavigasi kompleksitas keamanan online dan membuat pengaturan VPN dapat diakses oleh siapa saja di seluruh dunia.

Untuk memastikan lingkungan pengembangan Anda tetap aman dan data Anda tetap pribadi, pelajari teknologi perlindungan terbaru di squirrelvpn.com.