Peretas Manfaatkan Mirror npm sebagai Hosting Gratis Halaman Phishing dan Pengalihan Tautan

Aktor ancaman siber dilaporkan menyalahgunakan repositori paket JavaScript npm (Node Package Manager) beserta server replikasinya (mirrors) untuk menyimpan halaman HTML berbahaya. Halaman tersebut memalsukan verifikasi keamanan Cloudflare Turnstile CAPTCHA guna mengalihkan (redirect) pengunjung ke situs penipuan dan jebakan phishing yang dikendalikan oleh peretas.

Taktik ini pertama kali diidentifikasi pada Juli lalu oleh peneliti keamanan inf0stache melalui paket npm bertajuk china_airlines, yang kemudian diperkuat oleh temuan firma keamanan siber OX Security. Analisis lebih lanjut mengungkap setidaknya 24 paket npm serupa yang memuat halaman HTML manipulatif dan tersebar luas di berbagai platform mirror seperti UNPKG dan npmmirror.

Eksploitasi Infrastruktur Mirror sebagai Web Hosting Gratis

Berbeda dengan serangan rantai pasok (supply chain attack) konvensional yang menyusupkan skrip malware atau infostealer ke komputer pengembang saat paket dipasang (install), kampanye ini murni memanfaatkan reputasi domain npm dan layanannya sebagai media hosting gratis:

• Struktur Minimalis: Paket yang diunggah hanya berisi dua file dasar, yakni package.json dan sebuah file index.html.
• Akses Browser Langsung: Layanan Content Delivery Network (CDN) seperti UNPKG memungkinkan file individual di dalam paket dibuka langsung melalui peramban web (misalnya melalui format tautan https://unpkg[.]com/nama-paket@versi/index.html).
• Bypass Keamanan: Halaman phishing yang dimuat langsung dari domain tepercaya seperti unpkg.com mampu mengelabui perangkat lunak keamanan jaringan maupun filter filter URL yang biasanya memblokir domain mencurigakan baru.

Modus Halaman CAPTCHA Palsu dan Pengalihan Dinamis

Halaman HTML yang disematkan meniru antarmuka verifikasi keamanan Cloudflare dengan menyematkan komponen asli Cloudflare Turnstile. Terlepas dari apakah proses verifikasi CAPTCHA berhasil atau gagal, skrip JavaScript yang disamarkan (obfuscated) di latar belakang akan langsung mengeksekusi pengalihan URL ke domain eksternal.

Berdasarkan investigasi OX Security, tujuan pengalihan terus dimodifikasi dari waktu ke waktu:

• Varian awal pada Juli dan Agustus mengarahkan korban ke domain seperti microcloud[.]homes serta domain tiruan login[.]microsofte[.]live yang berpotensi menjadi laman phishing kredensial akun Microsoft.
• Varian terbaru beralih menggunakan layanan key-value store pihak ketiga yang sah (api.keyval.org). Skrip pada peramban akan mengambil nilai terenkripsi dari server tersebut, mendekripsinya secara lokal di browser, lalu mengarahkan pengunjung ke URL hasil dekripsi.

Penerapan metode penyimpanan eksternal ini memungkinkan peretas mengubah tujuan akhir pengalihan tautan secara dinamis dan jarak jauh tanpa perlu memperbarui atau mempublikasikan ulang paket di npm.

OX Security mengingatkan bahwa meskipun sebuah paket berbahaya telah dihapus dari repositori resmi npm, salinan file sering kali tetap tersimpan dan dapat diakses pada infrastruktur mirror pihak ketiga dalam jangka waktu lama. Para analis keamanan menyarankan tim TI untuk memperlakukan setiap permintaan akses langsung ke file HTML di domain mirror npm sebagai aktivitas lalu lintas jaringan yang patut diwaspadai.

Sumber: Laporan Riset Keamanan Siber OX Security