Amazon Kaitkan Serangan Supply Chain npm dengan Hacker Korea Utara

Amazon mengungkap bahwa serangkaian serangan supply chain yang menargetkan ekosistem Node Package Manager (npm) diduga dilakukan oleh kelompok peretas Korea Utara yang dikenal sebagai Sapphire Sleet, juga memiliki sejumlah nama lain seperti BlueNoroff dan Stardust Chollima.

Kelompok tersebut diyakini berada di balik kompromi beberapa paket JavaScript populer, termasuk debug, chalk, axios, dan typo-crypto, yang digunakan oleh jutaan pengembang di seluruh dunia.

Serangan Berlangsung Bertahap

Menurut Amazon, aktivitas pertama kali terdeteksi pada Maret 2025 ketika pelaku menyisipkan kode berbahaya ke dalam paket typo-crypto.

Paket tersebut diduga digunakan sebagai tahap uji coba sebelum melancarkan serangan yang lebih besar.

Enam bulan kemudian, pada September 2025, pelaku berhasil mengompromikan dua paket npm yang sangat populer, yaitu debug dan chalk.

Amazon memperkirakan serangan tersebut berdampak pada sekitar 10% lingkungan cloud hanya dalam waktu dua jam setelah pembaruan berbahaya dipublikasikan.

Pada Maret 2026, pelaku kembali menyerang dengan menargetkan axios, salah satu pustaka JavaScript paling populer yang memiliki lebih dari 100 juta unduhan setiap minggu.

Memanfaatkan Rekayasa Sosial

Amazon menyatakan bahwa pelaku tidak memperoleh akses melalui eksploitasi teknis terhadap npm.

Sebaliknya, mereka menggunakan rekayasa sosial (social engineering) untuk mengambil alih akun para maintainer paket.

Setelah memperoleh akses, pelaku menerbitkan pembaruan yang telah disisipi kode berbahaya.

Karena banyak proyek secara otomatis mengunduh pembaruan terbaru dari npm, paket yang telah dikompromikan segera tersebar ke berbagai organisasi tanpa disadari.

Dikaitkan dengan Sapphire Sleet

Amazon menghubungkan seluruh rangkaian serangan tersebut dengan kelompok Sapphire Sleet berdasarkan berbagai kesamaan, antara lain:

• Teknik, taktik, dan prosedur (TTP) yang digunakan.
• Infrastruktur command-and-control (C2).
• Pola operasional selama kampanye berlangsung.

Meski demikian, Amazon menyatakan tingkat keyakinan terhadap atribusi tersebut berada pada kategori sedang (medium confidence).

Perusahaan juga menilai motif utama pelaku adalah keuntungan finansial, dengan memilih paket yang banyak digunakan agar dapat memperoleh akses tidak langsung ke sebanyak mungkin korban.

Tren Baru dalam Serangan Supply Chain

Berdasarkan hasil analisisnya, Amazon mengidentifikasi sejumlah tren yang mulai muncul dalam serangan supply chain terhadap perangkat lunak sumber terbuka.

Malware Dibagi ke Banyak Paket

Pelaku mulai memecah fungsi berbahaya ke dalam beberapa paket berbeda yang tampak normal.

Pendekatan ini membuat proses deteksi menjadi jauh lebih sulit dibandingkan menyisipkan seluruh malware ke dalam satu paket.

Membangun Kepercayaan Selama Berbulan-bulan

Penyerang juga semakin sering menghabiskan waktu berbulan-bulan untuk membangun reputasi sebagai kontributor proyek open source sebelum akhirnya menyisipkan kode berbahaya.

Strategi tersebut membuat aktivitas mereka terlihat sebagai bagian dari pengembangan perangkat lunak yang sah.

Payload Tidak Lagi Disimpan di Dalam Paket

Amazon juga mengamati bahwa perilaku berbahaya kini semakin jarang ditempatkan langsung di dalam paket npm.

Sebaliknya, malware bergantung pada:

• Skrip eksternal.
• File konfigurasi.
• Server jarak jauh.

Komponen-komponen tersebut baru diaktifkan ketika serangan dijalankan.

Enkripsi Semakin Kompleks

Malware modern juga menggunakan mekanisme enkripsi yang lebih kuat serta payload bertahap (multi-stage payload).

Dalam banyak kasus, kunci dekripsi hanya diperoleh saat malware dijalankan atau diambil dari server eksternal sehingga menyulitkan analisis statis.

Menyesuaikan Diri dengan Lingkungan

Payload kini semakin mampu mengenali lingkungan tempat ia dijalankan.

Malware dapat menunda eksekusi hingga mendeteksi bahwa dirinya berjalan pada komputer pengembang atau lingkungan produksi, sehingga mampu menghindari sandbox maupun sistem analisis otomatis.

Memanfaatkan AI Coding Assistant

Amazon juga menyoroti meningkatnya praktik slopsquatting, yaitu mendaftarkan nama paket yang muncul akibat halusinasi (hallucination) pada AI coding assistant.

Pelaku berharap pengembang atau agen AI secara tidak sengaja memasang paket palsu tersebut karena nama yang direkomendasikan AI sebenarnya tidak pernah ada.

AI Mempermudah Pelaku

Menurut Amazon, kecerdasan buatan kini tidak hanya membantu pengembang, tetapi juga dimanfaatkan pelaku ancaman siber.

AI dapat digunakan untuk:

• Menghasilkan kode berbahaya.
• Menulis dokumentasi yang tampak meyakinkan.
• Membuat identitas maintainer palsu.
• Mempermudah proses rekayasa sosial.

Kondisi ini membuat serangan supply chain semakin mudah dilakukan dalam skala besar.

Amazon Tingkatkan Perlindungan Open Source

Sebagai respons terhadap meningkatnya ancaman tersebut, Amazon menyatakan telah melakukan sejumlah langkah, antara lain:

• Membagikan hasil investigasi kepada komunitas keamanan.
• Bekerja sama dengan OpenSSF dan berbagai mitra industri.
• Menginvestasikan US$12,5 juta pada inisiatif Akrites untuk membantu melindungi proyek open source penting dari serangan yang memanfaatkan AI.

Amazon menilai kolaborasi lintas industri menjadi faktor penting dalam menghadapi meningkatnya ancaman terhadap rantai pasok perangkat lunak, terutama ketika pelaku mulai memanfaatkan kecerdasan buatan untuk mempercepat dan menyempurnakan teknik serangan mereka.