Sebuah kampanye serangan aktif bernama “PhantomRaven” dilaporkan menargetkan para pengembang perangkat lunak melalui ratusan paket npm berbahaya yang dirancang untuk mencuri token autentikasi, rahasia CI/CD, dan kredensial GitHub.
Peneliti dari Koi Security menemukan bahwa aktivitas ini telah berlangsung sejak Agustus 2025, dengan 126 paket npm berbahaya yang sudah diunduh lebih dari 86.000 kali.
Menyusup Lewat Paket Palsu dan AI “Slopsquatting”
PhantomRaven memanfaatkan platform Node Package Manager (NPM) — manajer paket bawaan Node.js yang digunakan jutaan pengembang JavaScript di seluruh dunia.
Sebagian besar paket berbahaya tersebut meniru proyek terkenal seperti GitLab dan Apache, namun juga muncul akibat fenomena “slopsquatting” — yaitu ketika pengembang meminta rekomendasi pustaka dari AI/LLM (Large Language Model) dan AI tersebut secara keliru menyarankan nama paket fiktif yang tampak sah.
Para pelaku kemudian membuat paket dengan nama serupa dan menyusupkan kode berbahaya di dalamnya, menipu pengguna yang mengikuti rekomendasi AI tanpa verifikasi lebih lanjut.
Teknik Serangan: Remote Dynamic Dependencies (RDD)
PhantomRaven menggunakan pendekatan Remote Dynamic Dependencies (RDD) — sebuah mekanisme di mana paket berbahaya mengklaim tidak memiliki dependensi (zero dependencies), namun saat diinstal dengan perintah npm install, paket tersebut secara otomatis mengunduh dan mengeksekusi muatan (payload) dari URL eksternal.
Serangan ini tidak memerlukan interaksi pengguna, sehingga infeksi dapat terjadi secara otomatis setelah instalasi paket.
Kode berbahaya yang dijalankan akan:
- Memprofil perangkat korban untuk menilai nilai target
- Mencari data sensitif di variabel lingkungan (environment variables) seperti alamat email, token, dan kredensial
- Mencuri token autentikasi dari platform seperti NPM, GitHub Actions, GitLab, Jenkins, dan CircleCI
Token ini berpotensi digunakan untuk menyusup ke proyek lain atau meluncurkan serangan rantai pasok (supply chain attack) dengan menyisipkan kode berbahaya ke dalam proyek sah.
Eksfiltrasi Data Tiga Jalur
Menurut laporan Koi Security, operator PhantomRaven menggunakan tiga metode utama untuk mengirim data curian:
- HTTP GET request dengan data yang dikodekan dalam URL
- HTTP POST request dalam format JSON
- Koneksi WebSocket untuk komunikasi langsung dengan server kendali (C2)
Karena memanfaatkan RDD, aktivitas berbahaya ini sulit dideteksi melalui analisis statis, membuat kampanye ini mampu bertahan selama berbulan-bulan tanpa terdeteksi oleh sistem keamanan tradisional.
Imbauan untuk Pengembang
Koi Security menekankan agar pengembang tidak mengandalkan AI/LLM untuk rekomendasi paket tanpa verifikasi, serta selalu memastikan bahwa paket yang diinstal berasal dari penerbit resmi dan tepercaya.
Langkah pencegahan:
- Verifikasi nama dan penerbit paket npm sebelum instalasi
- Gunakan package lock dan pemeriksaan integritas hash
- Hindari menginstal paket dari sumber yang tidak dikenal
- Gunakan pemindai keamanan kode sumber dan audit dependensi secara rutin
Koi Security juga telah merilis indikator kompromi (IoCs) dan daftar lengkap paket berbahaya yang terlibat dalam serangan ini untuk membantu komunitas developer melakukan deteksi dini.
Sumber: Koi Security