16 Paket RubyGems Typosquatting Curi Kredensial Browser dan Dompet Crypto

Peneliti keamanan siber baru-baru ini mengungkap sebuah kampanye typosquatting yang menargetkan pengguna RubyGems dengan malware pencuri informasi yang berjalan di sistem operasi Windows. Kampanye ini menggunakan 16 paket RubyGems yang sengaja dibuat mirip dengan nama paket populer, namun sebenarnya berbahaya dan dirancang untuk mencuri data sensitif pengguna.

Daftar Paket RubyGems Typosquatting dalam Kampanye StubMaker

Tim OpenSourceMalware yang menemukan aktivitas ini pada 15 Agustus 2026, memberi nama ancaman ini StubMaker. Berikut adalah 16 paket RubyGems yang terlibat dalam kampanye ini:

• ubnuler
• ubnlder
• ri18nr
• reaker
• rakier
• orakw
• joxn
• ise18n
• ioe18n
• ie18u
• iai8n
• i1l8n
• i18om
• activesupmport
• brumdler
• brundlef

Paul McCarty (alias 6mile), seorang peneliti keamanan, menjelaskan, "Malware baru ini mencuri kredensial browser, dompet cryptocurrency, frase seed, dan data Telegram." Ia menambahkan, "Seluruh paket RubyGems berbahaya ini terlihat sebagai typosquatting dari dependensi Ruby populer, namun bukan seperti typosquatting 'cerdas' yang biasa kita lihat dari aktor ancaman lain, melainkan typos yang terlihat ceroboh."

Modus Operandi dan Pemanfaatan Celah RubyGems

Paket-paket ini diterbitkan oleh pengguna bernama mod8rz41mje (alias Riley Miller) dan rbq95bwt6q (alias Alex Davis). Pada saat berita ini ditulis, seluruh paket sudah ditarik dari RubyGems.

Dalam dua kasus, brumdler dan brundlef, pelaku memanfaatkan perilaku RubyGems yang memungkinkan namespace untuk diambil alih oleh siapa saja ketika semua versi paket tersebut sudah dihapus. Paket-paket ini awalnya diterbitkan oleh "gemlewqqhu1" (alias Taylor Moore) sebelum diambil alih oleh akun yang disebutkan sebelumnya.

Jenn Gile, co-founder OpenSourceMalware, mengatakan kepada The Hacker News bahwa meskipun kampanye ini berhasil digagalkan cukup awal, kampanye ini berhasil efektif karena "pilihan desain Ruby yang buruk" terkait penggunaan ulang nama paket dan kolom author yang tidak divalidasi.

"Ketika salah satu gem berbahaya dihapus, pelaku dapat membuat akun baru dan menerbitkan versi berbahaya baru dengan nama paket yang sama," kata Gile. "Apa yang seharusnya sudah mati total justru dihidupkan kembali untuk menginfeksi lebih banyak orang."

"Pelaku juga memberikan nama 'Author' yang berbeda-beda untuk setiap gem untuk membuatnya terlihat tidak terkait, padahal semua berasal dari akun pemilik yang sama. Ini karena kolom Author adalah bidang teks biasa yang tidak divalidasi. Nama Author tidak harus sesuai dengan pemilik atau data lain," tambahnya.

Teknik Serangan dan Payload Malware

Rantai serangan menggunakan hook "extconf.rb" yang berjalan otomatis saat pengguna memasang gem. Mirip dengan lifecycle hooks pada npm, file ini biasanya digunakan untuk mengkonfigurasi ekstensi native yang ditulis dalam C, C++, atau Rust yang dikompilasi saat instalasi.

Pada kasus StubMaker, hook Ruby ini berfungsi sebagai pintu untuk mengunduh loader berbasis Rust sebesar 22 MB dari rilis GitHub. Loader ini kemudian menjalankan payload stealer berbasis Go bernama "wincfg" yang disematkan di dalamnya. Akun GitHub pelaku (github[.]com/bebraz1) sudah tidak dapat diakses.

Payload stealer ini memuat DLL berjudul "abe_payload.dll" yang mampu mengekstrak kredensial dari browser berbasis Chromium seperti Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi, Yandex, Avast, AVG, dan CCleaner Browser dengan melewati proteksi encryption app-bound (ABE) yang diterapkan Google.

Selain itu, malware ini juga mengumpulkan:

• Data ekstensi browser
• Riwayat browsing
• Nomor kartu pembayaran
• Dompet cryptocurrency dan frase seed terkait
• Data Telegram Desktop
• Informasi sistem
• Alamat IP publik korban melalui permintaan ke "api.ipify[.]org"

Data yang dikumpulkan kemudian dikemas dalam arsip ZIP yang diproteksi kata sandi dan diunggah ke layanan Gofile. Link hasil unggahan dikirimkan ke pelaku melalui kanal HTTP yang tidak terenkripsi ke domain "dresslee.com".

Paul McCarty menjelaskan, "StubMaker tidak membangun apa pun — ia hanya menghasilkan Makefile dengan target all, install, dan clean yang kosong, serta skrip stub Unix dan Windows yang hanya mengembalikan sukses. Jadi, fase ekstensi tampak seperti build yang bersih, sementara pekerjaan sesungguhnya (pemanggilan platform, pengunduhan dan eksekusi loader Windows) terjadi di hook instalasi."

Menurutnya, nama "StubMaker" merujuk pada teknik membuat rantai build palsu agar instalasi berbahaya tampak seperti prosedur biasa, bukan hanya sekadar typosquatting biasa.

Konteks Serangan Serupa di Ekosistem NPM

Pengungkapan kampanye ini bertepatan dengan ditemukannya dua kampanye rantai pasokan perangkat lunak lain yang menargetkan registry npm:

1. 21 paket npm yang melakukan typosquatting pada nama binari CLI yang diekspos oleh paket scoped Google, untuk mengirim beacon postinstall minimal. SafeDep menjelaskan bahwa paket-paket ini tidak meniru nama paket melainkan menargetkan bidang "bin" di package.json yang mendefinisikan perintah eksekusi.
2. Sejumlah paket fork Baileys npm yang melakukan berbagai aktivitas berbahaya, seperti membuat akun WhatsApp penginstal mengikuti channel yang dikontrol penulis paket dan menyisipkan URL iklan penulis ke setiap gambar dan video yang dikirim bot.

SafeDep mencatat lebih dari 4.250 nama paket npm yang mengandung "baileys" dan 112 yang mengandung "libsignal-node". Perilaku jahat telah diamati di 70 nama paket Baileys dengan 343 versi serta 15 peniru libsignal-node dengan 38 versi.

Informasi lengkap mengenai kampanye ini bisa ditemukan pada laporan asli di The Hacker News.

Analisis Redaksi

Menurut pandangan redaksi, kasus StubMaker ini menyoroti risiko serius yang muncul dari typosquatting dan desain ekosistem open source yang kurang ketat dalam validasi identitas dan pengelolaan namespace. Penggunaan kembali nama paket yang sudah dihapus membuka celah bagi aktor jahat untuk melanjutkan serangan tanpa hambatan signifikan.

Lebih jauh, mekanisme instalasi RubyGems yang otomatis menjalankan skrip instalasi seperti "extconf.rb" menjadi titik lemah yang dimanfaatkan untuk menyisipkan malware tanpa curiga. Hal ini mengingatkan pentingnya peningkatan pengawasan dan audit paket di semua platform manajemen paket open source.

Pengguna Ruby dan developer harus lebih waspada, mengutamakan sumber paket yang terpercaya, dan menggunakan solusi keamanan yang dapat mendeteksi perilaku mencurigakan selama instalasi paket. Ke depan, pembuat RubyGems harus mempertimbangkan pembaruan sistem validasi dan pembatasan klaim ulang namespace untuk mencegah terulangnya insiden serupa.

Dengan meningkatnya serangan rantai pasokan perangkat lunak, penting bagi seluruh komunitas dan ekosistem open source untuk menyesuaikan strategi keamanan mereka agar dapat menjaga kepercayaan dan integritas software yang digunakan oleh jutaan pengembang dan pengguna di seluruh dunia.