Sebuah serangan rantai pasokan (supply-chain attack) baru yang menargetkan ekosistem Node Package Manager (npm) terdeteksi sedang mencuri kredensial para pengembang. Berbahayanya, ancaman siber ini dirancang untuk dapat menyebar secara mandiri melalui paket-paket yang dipublikasikan dari akun yang telah disusupi.
Ancaman ini pertama kali ditemukan oleh para peneliti di perusahaan keamanan aplikasi Socket dan StepSecurity dalam sejumlah paket dari Namastex Labs—sebuah perusahaan penyedia solusi agen berbasis kecerdasan buatan (AI).
Socket mencatat bahwa taktik yang digunakan untuk pencurian kredensial, eksfiltrasi data, dan perambatan mandirinya (self-propagation) memiliki kemiripan dengan serangan CanisterWorm milik kelompok peretas TeamPCP, meskipun bukti yang ada belum cukup kuat untuk memastikan atribusi tersebut.
Target Bernilai Tinggi dan Data yang Terancam
Hingga saat ini, Socket telah mendaftar setidaknya 16 paket Namastex yang dikonfirmasi telah disusupi dalam serangan rantai pasokan baru ini, dengan beberapa di antaranya meliputi:
@automagik/genie(versi 4.260421.33 – 4.260421.39)pgserve(versi 1.1.11 – 1.1.13)@fairwords/websocket(versi 1.0.38 – 1.0.39)@fairwords/loopback-connector-es(versi 1.4.3 – 1.4.4)@openwebconcept/theme-owc@1.0.3@openwebconcept/design-tokens@1.0.3
Mengingat paket-paket tersebut digunakan secara luas dalam operasi basis data dan perkakas agen AI, serangan ini jelas menargetkan titik akhir (endpoints) bernilai tinggi alih-alih mengincar infeksi massal bervolume tinggi.
Para peneliti menemukan bahwa kode berbahaya yang disuntikkan bertugas mengumpulkan data sensitif secara agresif. Data yang dicuri mencakup token, kunci API, kunci SSH, kredensial untuk layanan cloud, sistem CI/CD, registri, platform Large Language Model (LLM), hingga konfigurasi Kubernetes/Docker.
Tidak berhenti di situ, malware ini juga berupaya mengekstraksi data sensitif yang tersimpan di peramban Chrome dan Firefox, termasuk dompet mata uang kripto (cryptocurrency wallets) seperti MetaMask, Exodus, Atomic Wallet, dan Phantom.
Mekanisme Perambatan ala “Worm” Lintas Ekosistem
StepSecurity mengklasifikasikan malware ini sebagai “cacing rantai pasokan” (supply-chain worm). Malware ini memiliki kemampuan untuk menemukan token publikasi di npm dan menyuntikkan “dirinya sendiri ke dalam setiap paket yang dapat dipublikasikan oleh token tersebut, menyebarkan kompromi lebih jauh.”
Menurut temuan StepSecurity, versi berbahaya dari paket pgserve pertama kali dipublikasikan pada 21 April pukul 22:14 UTC, diikuti oleh dua rilis berbahaya lainnya pada hari yang sama.
Cara kerjanya: Jika token publikasi ditemukan pada sistem yang disusupi (baik dalam variabel lingkungan maupun fail konfigurasi ~/.npmrc), skrip jahat akan langsung mengidentifikasi paket apa saja yang dapat dipublikasikan oleh korban. Ia kemudian menambahkan muatannya (payload) dan memublikasikannya ulang ke npm dengan nomor versi yang telah dinaikkan (increased version number).
Paket yang baru terinfeksi ini akan menjalankan proses pencurian dan penyebaran yang persis sama ketika diinstal oleh pengembang lain, sehingga menciptakan penyebaran rekursif yang masif.
Lebih menakutkannya lagi, jika malware ini menemukan kredensial PyPI, ia akan menerapkan metode pembajakan yang serupa pada paket Python menggunakan muatan berbasis .pth, menjadikannya sebagai serangan multi-ekosistem yang sangat mengancam.
Tindakan Mitigasi yang Direkomendasikan
Para pengembang sangat disarankan untuk memperlakukan semua versi paket yang terdaftar di atas sebagai fail berbahaya. Segera hapus paket-paket tersebut dari sistem lokal maupun alur kerja CI/CD.
Langkah pengamanan lanjutan di lingkungan yang terdampak harus mencakup:
- Melakukan rotasi (rotate) pada seluruh kredensial, token, dan data rahasia yang berpotensi terekspos.
- Memeriksa mirror paket internal, artefak, dan fail cache.
- Mengaudit paket terkait yang menggunakan fail
public.pemyang sama, host webhook yang sama, atau pola postinstall yang mencurigakan.