Cacing Rantai Pasok Otomatis Bobol Paket npm untuk Curi Token Developer

Peneliti keamanan siber baru-baru ini mengungkapkan serangan cacing rantai pasok otomatis yang menginfeksi beberapa paket npm untuk mencuri token developer dan memperluas jangkauan serangan melalui mekanisme penyebaran mandiri.

Cacing Rantai Pasok yang Menyebar Otomatis Lewat Paket npm

Perusahaan keamanan Socket dan StepSecurity melacak aktivitas ini dengan nama CanisterSprawl, mengacu pada penggunaan ICP canister untuk mengekstrak data curian. Teknik ini mengingatkan pada serangan TeamPCP yang dikenal dengan CanisterWorm, yang membuat infrastruktur serangan lebih tahan terhadap upaya penutupan.

Daftar paket npm yang terinfeksi antara lain:

• @automagik/genie (versi 4.260421.33 sampai 4.260421.40)
• @fairwords/loopback-connector-es (versi 1.4.3 sampai 1.4.4)
• @fairwords/websocket (versi 1.0.38 sampai 1.0.39)
• @openwebconcept/design-tokens (versi 1.0.1 sampai 1.0.3)
• @openwebconcept/theme-owc (versi 1.0.1 sampai 1.0.3)
• pgserve (versi 1.1.11 sampai 1.1.14)

Malware ini aktif saat proses instalasi melalui postinstall hook yang mencuri kredensial dan rahasia dari lingkungan developer. Token npm yang dicuri kemudian digunakan untuk mengunggah versi paket yang sudah diracuni dengan postinstall hook berbahaya, sehingga memperluas penyebaran cacing ini secara eksponensial.

Data yang Dicuri dan Metode Eksfiltrasi

Informasi yang berhasil dicuri sangat beragam, termasuk:

• File konfigurasi .npmrc
• Kunci SSH dan konfigurasi terkait
• .git-credentials
• .netrc
• Kredensial cloud dari AWS, Google Cloud, dan Microsoft Azure
• Konfigurasi Kubernetes dan Docker
• Material dari Terraform, Pulumi, dan Vault
• File password database
• File .env lokal
• Riwayat perintah shell

Selain itu, malware berusaha mengakses kredensial dari browser berbasis Chromium dan data aplikasi ekstensi dompet kripto. Data ini kemudian dikirim ke dua titik eksfiltrasi, yakni webhook HTTPS di telemetry.api-monitor[.]com dan ICP canister di cjn37-uyaaa-aaaac-qgnva-cai.raw.icp0[.]io.

"Malware ini juga memiliki logika propagasi PyPI," jelas Socket. "Skrip ini membuat payload berbasis Python .pth yang akan dieksekusi saat Python berjalan, kemudian menyiapkan dan mengunggah paket Python berbahaya menggunakan Twine jika kredensial yang diperlukan ditemukan."

Dengan kata lain, ini bukan sekedar pencuri kredensial, tapi juga alat untuk mengubah satu lingkungan developer yang terinfeksi menjadi sumber kompromi paket-paket lain secara berantai.

Kasus Serupa dan Serangan Rantai Pasok Lainnya

JFrog baru-baru ini mengungkap bahwa beberapa versi paket Python populer xinference (2.6.0, 2.6.1, dan 2.6.2) telah disusupi payload terenkode Base64 yang memuat modul pengumpul tahap kedua untuk mencuri beragam kredensial dari host yang terinfeksi.

Payload tersebut dibuka dengan komentar "# hacked by teampcp", meski TeamPCP membantah terlibat dan menuding adanya peniru.

Selain npm, serangan juga menyasar PyPI dengan paket palsu yang menyamar sebagai utilitas Kubernetes (kube-health-tools di npm dan kube-node-health di PyPI). Paket-paket ini diam-diam memasang binary Go yang menjalankan berbagai layanan berbahaya, termasuk proxy SOCKS5, proxy balik, server SFTP, dan proxy model bahasa besar (LLM).

Menurut peneliti Aikido Security, Ilyas Makari, proxy LLM ini "berada di batas kepercayaan yang mudah disalahgunakan," memungkinkan penyerang menyisipkan perintah berbahaya yang merusak jalur komunikasi dan mencuri data sensitif seperti API key, kredensial AWS, token GitHub, dan kunci Ethereum.

Kampanye Serangan Lain yang Terungkap

Panther mendokumentasikan kampanye serangan npm yang menyamar sebagai penyedia asuransi telepon Asurion, dengan paket-paket berbahaya seperti sbxapps dan asurion-hub-web yang mencuri kredensial bertahap dari 1 hingga 8 April 2026. Data dicuri awalnya dikirim ke webhook Slack dan kemudian ke endpoint AWS API Gateway dengan metode obfuscation XOR.

Sementara itu, Wiz, perusahaan keamanan cloud milik Google, mengungkap kampanye bertenaga AI bernama prt-scan yang mengeksploitasi celah pada GitHub Actions sejak 11 Maret 2026. Penyerang mencari repositori dengan trigger pull_request_target, kemudian membuat branch dan menyisipkan payload berbahaya untuk mencuri kredensial developer dan mengunggah versi paket yang terinfeksi jika menemukan token npm.

Meski tingkat keberhasilan serangan kurang dari 10%, sebagian besar korban adalah proyek hobi kecil dengan kredensial GitHub sementara. Praktik keamanan CI/CD modern, terutama persetujuan kontributor, terbukti efektif melindungi repositori besar.

Analisis Redaksi

Menurut pandangan redaksi, serangan cacing rantai pasok seperti CanisterSprawl menandai eskalasi berbahaya dalam metode penyusupan siber yang langsung menyasar token developer sebagai kunci untuk memperluas infeksi. Hal ini menunjukkan bahwa keamanan lingkungan pengembangan dan pengelolaan token harus menjadi prioritas utama bagi komunitas open source dan perusahaan teknologi.

Selama ini, pengamanan terhadap token dan kredensial sering diabaikan, padahal serangan ini membuktikan bahwa satu token yang bocor dapat membuka pintu bagi kompromi paket yang luas dan sulit dilacak. Ini juga memperlihatkan betapa pentingnya penggunaan postinstall hook yang aman dan pengawasan ketat terhadap aktivitas publishing paket.

Ke depan, pengembang dan organisasi wajib mengadopsi standar keamanan DevOps yang lebih ketat, termasuk audit paket secara otomatis, pembatasan akses token, serta penerapan prinsip least privilege. Pemeriksaan berlapis dan sistem deteksi anomali juga harus diperkuat agar serangan rantai pasok dapat dideteksi lebih awal sebelum menyebar luas.

Untuk informasi lebih lengkap, Anda bisa membaca laporan asli di The Hacker News dan mengikuti perkembangan keamanan teknologi di media terpercaya.

Dengan semakin kompleksnya serangan rantai pasok, kewaspadaan komunitas dan kolaborasi antar pemangku kepentingan menjadi kunci utama dalam menjaga ekosistem open source yang sehat dan aman.