Paket npm Populer “node-ipc” Disusupi Malware Pencuri Kredensial Pengembang

Ahmandonk

Serangan siber bermodus supply chain attack kembali mengguncang ekosistem pengembang JavaScipt. Paket npm populer node-ipc, yang berfungsi sebagai modul komunikasi antarproses (inter-process communication) pada Node.js, dilaporkan telah disusupi oleh malware jenis infostealer (pencuri informasi) pada versi terbarunya yang diterbitkan baru-baru ini.

Meskipun paket ini sempat menuai kontroversi besar pada Maret 2022 karena pembuatnya sengaja menyisipkan kode penghapus data (protestware) yang menargetkan sistem di Rusia dan Belarus, paket node-ipc masih sangat populer dengan catatan lebih dari 690.000 unduhan mingguan di repositori npm.

Versi Terinfeksi dan Mekanisme Kerja

Sejumlah perusahaan keamanan aplikasi terkemuka, termasuk Socket, Ox Security, dan Upwind, mendeteksi adanya kode berbahaya yang disisipkan oleh aktor eksternal setelah berhasil mengambil alih akun milik salah satu pemelihara (maintainer) pasif bernama ‘atiertant’.

Tiga versi node-ipc yang dipastikan berbahaya dan wajib dihindari adalah:

Kode jahat tersebut disembunyikan di dalam entrypoint CommonJS (node-ipc.cjs) dan akan dieksekusi secara otomatis begitu aplikasi atau proyek Node.js yang menggunakannya dimuat (load).

Malware ini dirancang dengan teknik obfuskasi yang sangat pekat, melakukan pemindaian karakteristik sistem (fingerprinting), mengumpulkan variabel lingkungan (environment variables), serta membaca file lokal yang sensitif.

Daftar Data Sensitif yang Diincar

Malware ini secara spesifik berburu kredensial dan hak akses milik para pengembang teknologi, di antaranya:

Catatan Efisiensi Malware: Untuk menghindari kecurigaan sistem dan mengurangi beban kerja, malware ini secara otomatis melewati (skip) file yang berukuran lebih dari 4 MiB serta mengabaikan direktori .git dan node_modules.

Eksfiltrasi Data Cerdas via DNS TXT

Aktor di balik serangan ini menggunakan metode eksfiltrasi data yang sangat cerdik untuk menghindari deteksi sistem keamanan jaringan (seperti Firewall atau IDS). Alih-alih mengirimkan data curian melalui lalu lintas HTTP/HTTPS konvensional, mereka memanfaatkan Kueri DNS TXT.

  1. Kompresi Data: Data yang berhasil dikumpulkan dikompresi ke dalam arsip sementara berformat .tar.gz.
  2. Jalur Pengiriman: Menggunakan domain palsu bertema Azure (sh[.]azurestaticprovider[.]net:443) sebagai bootstrap resolver untuk mengirimkan pecahan data ke bt[.]node[.]js.
  3. Kamuflase Trafik: Sebagai gambaran, untuk mengirimkan satu file arsip terkompresi berukuran 500 KB, malware akan menghasilkan sekitar 29.400 permintaan DNS TXT. Pola lalu lintas ini sengaja dibuat agar menyatu dan tersamarkan di antara ribuan aktivitas DNS normal pada jaringan korporat.
  4. Penghapusan Jejak: Setelah proses transfer selesai, file arsip .tar.gz di direktori temporer akan langsung dihapus guna meminimalkan jejak forensik digital.

Malware ini tidak menanamkan mekanisme persistence (bertahan di sistem setelah reboot) maupun mengunduh beban kerja sekunder (secondary payloads), mengindikasikan bahwa operasi ini murni berfokus pada pencurian kredensial pengembang secara cepat dan masif.

Rekomendasi Tindakan untuk Pengembang

Bagi para pengembang, penanggung jawab infrastruktur CI/CD, maupun penyedia layanan berbasis Node.js, langkah-langkah darurat berikut wajib segera dilakukan:

  1. Periksa File Kunci: Segera audit file package-lock.json, yarn.lock, atau pnpm-lock.yaml pada seluruh proyek Anda. Pastikan tidak ada dependensi yang mengarah ke tiga versi berbahaya di atas.
  2. Bersihkan Cache: Jalankan perintah pembersihan cache npm secara menyeluruh untuk memastikan versi berbahaya tidak tersimpan di lokal perangkat.
  3. Rotasi Rahasia (Secret Rotation): Jika proyek Anda sempat memuat versi tersebut, anggap seluruh token, kunci SSH, kredensial cloud, dan kata sandi database Anda telah berkompromi. Segera lakukan rotasi dan ganti seluruh kredensial tersebut.
↑
Exit mobile version