Telset.id – Varian baru malware Shai-Hulud yang dijuluki ChainDrop telah menginfeksi lebih dari 1.300 paket npm dengan infostealer. Para peneliti keamanan dari Aikido melaporkan temuan setidaknya 868 paket yang tersebar di 1.381 versi telah disusupi oleh worm tersebut.
Shai-Hulud adalah malware supply chain yang dapat menyebar sendiri dan dirancang untuk menyerang developer perangkat lunak dengan cara membobol paket open-source serta pipeline CI/CD. Malware ini mencuri kredensial, API key, dan access token, kemudian menggunakan data curian tersebut untuk menerbitkan paket malware tambahan.
Serangan ini berawal dari kompromi akun GitHub milik pengelola pustaka Keyv dan Cacheable, yang merupakan pustaka JavaScript open-source yang banyak digunakan untuk caching data dalam aplikasi Node.js. Dari titik awal tersebut, para penyerang berhasil merambah ke utilitas populer lainnya seperti flat-cache dan file-entry-cache, serta paket-paket yang terkait dengan organisasi seperti Deliveroo, Ornikar, OneReach, Picsart, Qlik, dan ServiceTitan.
Pada Mei 2026, aktor yang mengaku terkait dengan grup TeamPCP secara publik merilis kode sumber worm Shai-Hulud, dengan pernyataan “open sourcing the carnage” dan mengundang aktor ancaman lain untuk mengadopsi serta memodifikasi kode tersebut. Sejak saat itu, muncul berbagai kampanye tiruan dan varian, termasuk ChainDrop yang ditemukan Aikido ini.
Malware tersebut didorong langsung ke cabang utama proyek, kemudian menghasilkan rilis paket tambahan. Paket-paket yang dikompromikan ini memiliki total 2 miliar unduhan bulanan. Aikido menyatakan bahwa infostealer ini mengambil kredensial developer dan cloud, mengenkripsinya, lalu mengirimkannya ke repositori GitHub publik bernama “Shai-Hulud: Here We Go Again.”
Selain itu, malware ini juga mencuri file konfigurasi lokal, GitHub PATs, token alur kerja, berbagai token ghp_, gho_, dan ghs_, token npm tertentu, GitHub Actions secrets, kredensial AWS, Kubernetes secrets, dan masih banyak lagi.
Baca Juga:
Para peneliti menegaskan bahwa administrator sistem yang pernah memasang paket yang tercemar harus memperlakukan workstation developer atau CI/CD runner mereka sebagai sistem yang telah dikompromikan, meskipun paket tersebut sudah dihapus. Hal ini penting karena malware dapat meninggalkan jejak yang memungkinkan akses berkelanjutan ke lingkungan pengembangan.
Dampak pada Ekosistem Open Source
Serangan ChainDrop ini menunjukkan betapa rentannya ekosistem open source terhadap serangan supply chain. Dengan mengkompromikan akun GitHub dari pemelihara pustaka populer, penyerang dapat menyebarkan malware ke ribuan proyek yang bergantung pada pustaka tersebut. Jumlah unduhan bulanan yang mencapai 2 miliar menunjukkan besarnya permukaan serangan yang dapat dieksploitasi.
Para developer yang menggunakan pustaka Keyv, Cacheable, flat-cache, file-entry-cache, atau paket terkait organisasi yang disebutkan harus segera melakukan audit menyeluruh terhadap dependensi proyek mereka. Langkah ini penting untuk memastikan tidak ada versi tercemar yang masih digunakan dalam basis kode.
Aikido juga mengingatkan bahwa sifat self-propagating dari Shai-Hulud memungkinkan malware ini menyebar secara otomatis. Ketika kredensial berhasil dicuri, penyerang dapat menggunakannya untuk mempublikasikan paket berbahaya baru, menciptakan siklus infeksi yang berkelanjutan di seluruh ekosistem npm.
Para ahli keamanan merekomendasikan agar organisasi yang terdampak segera merotasi semua kredensial yang mungkin terekspos, termasuk token GitHub, kredensial cloud, dan secret lainnya yang tersimpan di lingkungan yang terinfeksi. Proses ini harus dilakukan meskipun paket berbahaya sudah dihapus dari sistem.
Langkah Mitigasi untuk Developer
Bagi developer yang menggunakan pustaka JavaScript, langkah mitigasi utama adalah memverifikasi integritas paket sebelum digunakan. Memeriksa riwayat rilis dan memastikan bahwa versi yang dipasang adalah versi resmi dapat membantu mengurangi risiko terpapar paket berbahaya.
Selain itu, membatasi hak akses token dan kredensial yang digunakan dalam pipeline CI/CD juga merupakan langkah penting. Dengan memberikan hak akses minimal yang diperlukan, dampak dari kebocoran kredensial dapat diminimalkan.
Para peneliti juga menyarankan penggunaan alat pemindaian dependensi otomatis yang dapat mendeteksi paket mencurigakan sebelum masuk ke basis kode. Alat semacam ini dapat memberikan peringatan dini tentang potensi ancaman supply chain.
Kesimpulan
Temuan ChainDrop menegaskan bahwa serangan supply chain melalui ekosistem paket open-source terus menjadi ancaman serius bagi industri perangkat lunak. Dengan kemampuan menyebar sendiri dan mencuri kredensial secara sistematis, varian Shai-Hulud ini menunjukkan perlunya kewaspadaan berkelanjutan dari seluruh ekosistem pengembangan perangkat lunak. Para administrator sistem dan developer harus menganggap sistem yang pernah terpapar sebagai compromised dan segera mengambil langkah remediasi menyeluruh.
Komentar
Belum ada komentar.