Serangan SleeperGem: 3 Paket RubyGems Jahat Menargetkan Mesin Pengembang

Peneliti keamanan siber mengungkap adanya serangan rantai pasokan perangkat lunak baru yang dinamai SleeperGem, menargetkan ekosistem Ruby dengan memanfaatkan tiga paket RubyGems berbahaya yang diterbitkan secara diam-diam dan menyebarkan payload tambahan berbahaya.

Tiga Paket RubyGems Jahat dalam Serangan SleeperGem

Paket-paket RubyGems jahat yang terlibat adalah:

• git_credential_manager (versi 2.8.0 hingga 2.8.3) – diterbitkan pada 18 Juli 2026
• Dendreo (versi 1.1.3 dan 1.1.4) – diterbitkan pada 14 Oktober 2017 (diperbarui terakhir 2020 sebelum serangan)
• fastlane-plugin-run_tests_firebase_testlab (versi 0.3.2) – diterbitkan pada 6 Februari 2018 (tidak aktif sejak 2019 sebelum pembaruan berbahaya)

Menurut analisis dari StepSecurity, setiap rilis berbahaya berfungsi sebagai loader yang mengunduh tahap kedua dari host Forgejo yang dikendalikan penyerang. Paket ini memeriksa apakah sedang berjalan di sistem build (CI) dan jika ya, maka paket tersebut tidak aktif. Namun, jika dijalankan di mesin pengembang, paket ini memasang malware native berupa daemon yang dipertahankan secara persisten.

Modus Operandi dan Penyebaran Malware

Salah satu hal yang menonjol adalah paket git_credential_manager yang meniru Microsoft Git Credential Manager resmi, sementara dua paket lain sebelumnya tidak aktif selama bertahun-tahun sebelum diperbarui secara berbahaya.

Serangan ini juga menunjukkan bahwa rilis berbahaya diterbitkan langsung ke registri RubyGems tanpa ada commit atau tag yang sesuai di proyek sumbernya, menandakan adanya kompromi akun pengelola.

Paket git_credential_manager menjadi dependensi dari lima paket lain, termasuk Dendreo dan fastlane-plugin-run_tests_firebase_testlab, sehingga memperluas jangkauan serangan ke pengguna paket tersebut:

• Dendreo
• fastlane-plugin-run_tests_firebase_testlab
• slackHtmlToMarkdown
• seo_optimizer
• array_fast_methods

Semua paket tersebut, kecuali fastlane-plugin-run_tests_firebase_testlab, dikelola oleh akun yang sama bernama "LR-DEV". Sedangkan paket berbahaya git_credential_manager dimiliki oleh akun berbeda bernama "pinkroom", yang menunjukkan kemungkinan lebih dari satu akun telah diretas untuk menyebarkan versi jahat ini.

Mekanisme Malware dan Pencegahan

Setelah terpasang, malware yang tertanam memindai sekitar 30 variabel lingkungan, termasuk yang terkait dengan layanan CI populer seperti GitHub Actions, GitLab, CircleCI, Travis, Jenkins, dan Vercel. Jika terdeteksi berjalan di lingkungan CI, malware akan segera berhenti, menghindari eksekusi pada runner sementara dan memastikan ia hanya aktif di mesin pengembang.

Untuk git_credential_manager, malware aktif segera setelah pustaka dipanggil, mengunduh dua payload dari Forgejo publik (git.disroot[.]org/git-ecosystem) berupa skrip shell "deploy.sh" dan binary native yang meniru nama alat aslinya. Pada Windows, payload dieksekusi melalui PowerShell.

Versi 2.8.2 hanya menyiapkan payload, sementara versi 2.8.3 melanjutkan serangan dengan menjalankan binary sebagai daemon latar belakang, memasang persistence melalui cron dan systemd user service, serta memeriksa grup sudo dan wheel.

"Jika pengguna dapat menjalankan sudo tanpa password, skrip akan menjalankan dirinya ulang sebagai root, dan saat berjalan sebagai root, ia menanam salinan shell sistem setuid root di jalur yang menyerupai utilitas jaringan," jelas StepSecurity.

Pengguna yang memasang paket-paket berbahaya ini disarankan menganggap mesin dan rahasianya telah dikompromikan. Disarankan untuk menghapus daemon yang terpasang di ~/.local/share/gcm/, menghapus metode persistence, memeriksa shell setuid di /usr/local/sbin/ping6, dan segera mengganti semua kredensial yang digunakan.

Celah Akun Dormant dan Tren Serangan Supply Chain

Menurut Charlie Eriksen dari Aikido Security, akun RubyGems yang sudah lama tidak aktif menjadi target ideal penyerang karena dianggap tidak berisiko dan kemungkinan besar tidak diawasi. Inilah alasan nama SleeperGem: akun-akun biasa yang "tertidur" dan mudah diambil alih tanpa dicurigai.

RubyGems sebagai Saluran Eksfiltrasi Data

Penemuan ini muncul lebih dari dua bulan setelah RubyGems sempat menghentikan pendaftaran akun karena serangan spam terkoordinasi yang menyebarkan puluhan paket jahat. Peneliti Socket juga menemukan kampanye serupa yang memanfaatkan lebih dari 150 gems sebagai saluran eksfiltrasi data.

Bulan ini, Mend.io mengungkap serangan rantai pasokan lain yang menggunakan 14 paket RubyGems untuk menyimpan data kredensial curian. Serangan ini melibatkan ekstensi browser berbahaya yang mengumpulkan data kredensial dari API lokal, mengemas data ke dalam file .gem menggunakan JavaScript, lalu mengunggahnya ke RubyGems.org dengan kunci API yang disematkan.

"Data yang dicuri meliputi password plaintext, kunci privat SSH, kredensial AWS, frase seed dompet kripto, nomor Jaminan Sosial, nomor kartu kredit, dan data rekening bank dari 63 item vault," ungkap Maciej Mensfeld.

Menurut Mensfeld, "RubyGems bukanlah mekanisme pengiriman malware; melainkan dead drop yang dipercaya dan bertrafik tinggi, di mana data curian disimpan hingga penyerang mengambilnya, tersembunyi di antara unggahan pengembang biasa."

Analisis Redaksi

Menurut pandangan redaksi, serangan SleeperGem menandai eskalasi serius dalam ancaman rantai pasokan perangkat lunak, khususnya bagi pengembang Ruby yang bergantung pada paket pihak ketiga. Strategi penyerang yang mengincar akun-akun yang lama tidak aktif menunjukkan kecanggihan dan kesabaran dalam mengelabui sistem keamanan sekaligus menghindari deteksi otomatis.

Lebih jauh, serangan ini memperlihatkan bagaimana ekosistem open source bisa menjadi vektor utama untuk menyebarkan malware tingkat lanjut yang sulit dideteksi, terutama dengan teknik melewati CI runner dan menargetkan mesin pengembang secara langsung. Ini menggarisbawahi pentingnya pengelolaan akses, audit rutin terhadap dependensi, dan kesadaran keamanan berkelanjutan di kalangan developer.

Ke depannya, pengelola RubyGems dan komunitas open source harus memperketat verifikasi paket dan aktivitas akun, serta mengadopsi mekanisme deteksi dini agar kasus seperti ini tidak berulang. Bagi pengguna, penting untuk selalu memantau pembaruan paket, menggunakan tools keamanan, dan menerapkan prinsip least privilege pada sistem pengembangan mereka.

Untuk informasi lebih lanjut dan pembaruan terkini seputar keamanan aplikasi dan rantai pasokan perangkat lunak, ikuti berita kami di The Hacker News dan sumber terpercaya lainnya.