Pelanggaran kode sumber GitHub - TeamPCP mengklaim memiliki akses ke kode sumber internal

• TeamPCP mengklaim telah mengambil data organisasi proprietari dan kode sumber dari sistem internal GitHub, lalu menjualnya di forum bawah tanah
• Postingan penjualan tersebut meminta penawaran di atas $50.000, dan mengklaim mencakup sekitar 4.000 repositori privat yang terhubung ke platform utama GitHub
• TeamPCP merilis tangkapan layar yang menampilkan daftar file dan nama arsip repositori, serta menyatakan akan memberikan sampel kepada pembeli yang serius
• GitHub mengonfirmasi sedang menyelidiki akses tidak sah ke repositori internal, tetapi menyatakan belum ada bukti dampak terhadap enterprise, organisasi, atau repositori pelanggan
• TeamPCP diperkenalkan sebagai kelompok bermotif finansial yang dilacak sebagai UNC6780, dengan riwayat menyalahgunakan kredensial CI/CD dan token akses

---

Klaim pelanggaran dan respons GitHub

• Pelaku ancaman dengan alias TeamPCP mengklaim telah membobol sistem internal GitHub dan membocorkan data organisasi proprietari serta kode sumber
• Penyerang menjual dataset curian tersebut di forum kejahatan siber bawah tanah, dengan meminta penawaran di atas $50.000
• Menurut postingan penjualan, data hasil pelanggaran mencakup sekitar 4.000 repositori privat yang terhubung langsung ke platform utama GitHub
• TeamPCP mengajukan tangkapan layar yang menampilkan daftar file yang dipublikasikan dan beberapa nama arsip repositori sebagai bukti
• Mereka juga menyatakan akan memberikan sampel data untuk verifikasi kepada pembeli yang serius
• Setelah klaim tersebut menyebar, GitHub mengonfirmasi melalui X bahwa mereka sedang menyelidiki akses tidak sah ke repositori internal
• Hingga saat ini, GitHub menyatakan belum ada bukti bahwa enterprise, organisasi, atau repositori pelanggan terdampak
• GitHub juga menyatakan sedang memantau infrastrukturnya secara ketat untuk mengidentifikasi aktivitas lanjutan, namun tidak mengonfirmasi maupun membantah metode akses dan klaim 4.000 repositori tersebut
• Investigasi masih berlangsung, dan setelahnya GitHub merilis pembaruan

Konteks aktivitas TeamPCP

• TeamPCP diperkenalkan sebagai kelompok ancaman bermotif finansial yang dilacak oleh Google Threat Intelligence Group sebagai UNC6780
• Kelompok ini diketahui memiliki riwayat serangan rantai pasok yang melintasi berbagai ekosistem
• Trivy Vulnerability Scanner disebut dieksploitasi melalui CVE-2026-33634, yang dikatakan berujung pada pelanggaran terhadap lebih dari 1.000 organisasi termasuk Cisco
• Checkmarx dan LiteLLM menjadi target kampanye cepat yang bertujuan mencuri kredensial dalam pipeline CI/CD
• Terkait Shai-Hulud Malware, TeamPCP disebut menggunakan akun yang dicuri untuk langsung membocorkan kode sumber malware Shai-Hulud mereka sendiri ke GitHub
• TeamPCP juga disebut memiliki pola operasi menyalahgunakan kredensial CI/CD yang dicuri dan token akses berprivileg untuk bergerak lebih dalam ke dalam infrastruktur target

[GN⁺]

Opini di Lobste.rs

• Perlu diingat bahwa GitHub sejak lama pada dasarnya berada dalam kondisi kode sumber bisa dilihat

  1. Unduh QCOW2 dari https://enterprise.github.com/releases lalu mount ke VM Linux yang diinginkan
  2. Hapus obfuscation dengan https://gist.github.com/iscgar/e8ea7560c9582e4615fcc439177e22b7; untuk versi GHES dalam 10 tahun terakhir, cukup hilangkan L33
     Cukup ramah juga, sampai-sampai meskipun GHES berbasis Nomad, kita bahkan bisa mendapatkan chart Helm untuk .com
     Ini juga menjadi salah satu latar belakang bagaimana Wiz bisa menemukan CVE-2026-3854

• Tim ini belakangan terlibat dalam berbagai peretasan (Shai-Hulud, Trivy, LiteLLM, GitHub), dan kalau peliputan insiden pembobolan seperti ini dianggap relevan dengan topik di sini, ini cukup menarik
  Sentimen seperti “ada banyak mantan pecandu dan mantan penjual/dealer di sini, dan kejahatan siber bekerja seperti semacam terapi yang aneh. Ia menjauhkan orang dari alkohol atau narkoba, membuat mereka melupakan situasi buruk untuk sementara, dan memberi tujuan pada sesuatu yang mereka kuasai tetapi tidak punya kualifikasi untuk melakukannya secara legal” berulang kali terlihat di kalangan peretas
  Dalam HackBack karya Phineas Fisher juga ada ungkapan serupa: “meretas membuat saya merasa hidup, dan awalnya itu adalah cara untuk mengobati depresi saya sendiri. Belakangan saya sadar bahwa saya bisa melakukan hal positif dengan ini.” Tujuan TeamPCP berbeda, tetapi ada kesamaan yang menarik

  • Bagian tentang tidak bisa melakukannya secara legal terasa mengena. Bukan untuk membela tindakan mereka, tetapi ini menunjukkan inefisiensi lain dari sistem sosial manusia

• Dalam kiriman ini Xeet disebutkan: https://lobste.rs/s/ges2gt/github_source_code_breach_teampcp_claims

• Saya penasaran kenapa ini berupa thread Twitter, bukan tulisan blog

  • Jika melihat https://x.com/github/status/2056949173958906296, tertulis “setelah penyelidikan selesai, kami akan merilis laporan yang lebih rinci”

• nitter.net tampak tidak stabil. Ada instance nitter lain yang menampilkan thread yang sama

• Informasi tambahan dari Twitter: https://nitter.net/xploitrsturtle2/status/2056927898771067006

  • Sayangnya, kemungkinan besar Microsoft memang sudah mengungkapkan ini secepat yang diizinkan birokrasi
    Seseorang mungkin pulang kerja dengan bangga atas kecepatan lolosnya ini melalui beberapa lapis manajemen dan tinjauan hukum, dan itu sendiri mungkin merupakan pencapaian yang cukup besar dalam struktur organisasi yang rumit. Tetapi justru karena alasan seperti inilah perusahaan besar sulit benar-benar melayani pelanggan dengan baik