Amazon Kaitkan Pembajakan Paket npm Debug dan Chalk dengan Sapphire Sleet Korea Utara

Amazon mengaitkan pembajakan paket npm debug dan chalk yang terjadi pada September 2025 dengan kelompok siber asal Korea Utara yang dikenal dengan nama Sapphire Sleet. Insiden ini sebelumnya dianggap sebagai aksi pencurian kripto biasa, di mana seorang pemelihara paket terperdaya oleh situs npm palsu dan sebuah skrip jahat disisipkan ke dalam setidaknya 18 paket yang digabungkan memiliki lebih dari 2 miliar unduhan mingguan.

Sebelumnya, laporan dari Aikido dan Wiz tidak mengaitkan insiden tersebut dengan Korea Utara. Namun, dalam riset terbaru yang dipublikasikan pada 29 Juli 2026, Amazon Threat Intelligence menilai dengan tingkat keyakinan sedang bahwa kelompok yang sama yang melakukan pembajakan paket axios pada Maret 2026 juga bertanggung jawab atas serangan pada paket debug dan chalk.

Rangkaian Serangan dan Modus Operandi Sapphire Sleet

Amazon menjelaskan bahwa kelompok ini telah menjalankan serangan yang terstruktur selama setidaknya satu tahun, dimulai dengan penanaman file trojanized di sebuah paket kecil bernama typo-crypto pada Maret 2025. Meskipun paket tersebut memiliki jumlah unduhan yang rendah, modus operandi yang digunakan mirip dengan serangan yang terjadi pada paket populer seperti axios.

Strategi serangan yang diamati Amazon meliputi:

• Memanipulasi pemelihara terpercaya melalui rekayasa sosial (social engineering)
• Mengunggah pembaruan paket yang mengandung kode berbahaya
• Menggunakan mekanisme post-install hooks dan penyamaran paket
• Memanfaatkan kode yang digunakan ulang dan indikator komando serta kontrol yang tumpang tindih

Meski Amazon tidak mengidentifikasi secara eksplisit bukti yang mengaitkan insiden tertentu dengan Sapphire Sleet, mereka menegaskan pola serangan tersebut konsisten di seluruh empat paket yang terlibat dalam tiga kampanye berbeda dalam kurun waktu 12 bulan.

Perbedaan Teknik dan Tantangan Bukti

Insiden pada paket debug dan chalk berbeda dari serangan axios. Pada debug dan chalk, kode jahat berupa browser-side interceptor yang memodifikasi alamat transaksi di API dompet kripto sebelum pengguna menandatangani transaksi, tanpa meninggalkan jejak permanen di mesin korban. Sedangkan pada axios, kode berbahaya bergantung pada post-install hook npm.

Paket typo-crypto bahkan tidak menggunakan post-install hook dan menunggu perintah pemicu tertentu. Amazon mencatat bahwa pola ini kemungkinan merupakan "uji coba" sebelum serangan terhadap paket yang lebih populer.

Google dan Microsoft secara independen mengaitkan serangan axios dengan kelompok UNC1069 dan Sapphire Sleet, yang dikenal juga dengan nama-nama lain seperti STARDUST CHOLLIMA dan BlueNoroff. Namun, Amazon tetap satu-satunya sumber yang mengaitkan paket debug, chalk, dan typo-crypto dengan kelompok tersebut.

Teknis dari Malware dan Indikator Jaringan

Amazon mendeskripsikan file berbahaya bernama core.js yang menyamar sebagai bagian dari paket core-js asli. File ini aktif saat menerima input hash tertentu 0098273 dan mengunduh tahap kedua yang khusus untuk sistem operasi dari server komando dan kontrol (C2) yang diobfusikasi menggunakan base64 dan XOR dengan kunci 01042025. Indikator jaringan termasuk domain npmjs.store dan IP 216.74.123.126.

Investigasi The Hacker News pada Juli 2026 menemukan bahwa paket typo-crypto versi 4.3.0 masih tersedia dan dapat diinstal, meskipun tidak memiliki skrip instalasi berbahaya. Namun, paket tersebut meniru deskripsi dan kata kunci dari proyek crypto-js, bukan core-js asli yang dipalsukan.

Respons dan Upaya Perlindungan npm

npm versi 12 yang dirilis pada 8 Juli 2026 mematikan skrip siklus hidup dependensi secara default, yang berarti mekanisme post-install hook yang digunakan axios tidak lagi berjalan secara otomatis. Namun, ini tidak menutup celah rekayasa sosial yang memungkinkan pengambilalihan pemelihara.

Sejak 28 Juli 2026, npm mulai memindai paket baru untuk mendeteksi malware sebelum dipublikasikan, tetapi pemindaian ini tidak berlaku untuk paket yang sudah ada di registri.

Analisis Redaksi

Menurut pandangan redaksi, pengaitan insiden pembajakan paket npm populer seperti debug dan chalk kepada kelompok siber negara seperti Sapphire Sleet menegaskan tren meningkatnya serangan rantai pasokan perangkat lunak. Supply chain attack ini sangat berbahaya karena dapat menimbulkan dampak luas pada ratusan juta pengguna yang mengandalkan paket tersebut.

Kendati begitu, bukti yang dipublikasikan Amazon masih kurang transparan dan detail, terutama terkait bagaimana secara spesifik insiden debug dan chalk dapat dikaitkan dengan Sapphire Sleet. Hal ini membuka ruang bagi perusahaan keamanan lain untuk melakukan verifikasi independen dan memperkuat ekosistem open source terhadap ancaman serupa.

Ke depan, pengguna dan pengembang paket npm harus semakin waspada terhadap potensi rekayasa sosial yang bisa menimbulkan kompromi. Langkah npm memperketat pengawasan paket baru merupakan langkah penting, namun penanganan risiko dari sisi pemelihara paket juga harus menjadi perhatian utama.

Untuk informasi lebih lanjut dan update terkini mengenai keamanan perangkat lunak dan serangan rantai pasokan, Anda dapat mengikuti laporan dari The Hacker News serta berita resmi dari npm dan vendor keamanan terkemuka.