- Perpustakaan ternama seperti Axios dan Mastra Sistem tersebut diretas melalui akun pengelola yang dibajak, yang memengaruhi jutaan unduhan setiap minggunya.
- Para penyerang menggunakan teknologi canggih. kait pascainstal untuk menyebarkan celah keamanan lintas platform dan mencuri kredensial sensitif dari lingkungan pengembang.
- Pelaku ancaman, termasuk mereka yang terkait dengan Kelompok-kelompok Korea Utara, semakin memanfaatkan kepercayaan pada dependensi sumber terbuka daripada mencari kelemahan perangkat lunak.
- Pakar keamanan merekomendasikan menonaktifkan skrip siklus hidup serta menerapkan kontrol keluar jaringan yang ketat untuk mengurangi dampak dari paket yang terkontaminasi.
Para pengembang kini menyadari dengan cara yang sulit bahwa... lanskap pembangunan modern Semakin menjadi ladang ranjau di mana satu kata sandi yang terlupakan dapat membahayakan ribuan proyek. Dunia teknologi telah menyaksikan lonjakan besar insiden rantai pasokan baru-baru ini, membuktikan bahwa bahkan alat yang paling tepercaya sekalipun dapat digunakan untuk melawan mereka dalam hitungan menit tanpa ada yang menyadarinya sampai sudah terlambat.
Data terkini menunjukkan bahwa kita sedang menyaksikan pergeseran mendasar dalam cara peretas beroperasi, karena mereka beralih dari eksploitasi tradisional untuk fokus pada hal-hal baru. keamanan rantai pasokanDengan menyusup ke ekosistem platform populer seperti npm, penyerang dapat mendistribusikan kode berbahaya ke jutaan sistem secara bersamaan, mengubah pembaruan perangkat lunak yang sah menjadi mekanisme pengiriman malware tingkat tinggi dan alat pencurian data.
Ekosistem Mastra dan Jebakan Phishing LinkedIn
Pada pertengahan tahun 2026, kerangka kerja Mastra, yang banyak digunakan untuk membangun aplikasi AI, menjadi korban kampanye terkoordinasi yang dimulai dengan sebuah serangan rekayasa sosial yang canggihSeorang kontributor menerima pesan menyesatkan di LinkedIn, yang akhirnya menyebabkan token penerbitan npm mereka diretas. Penyerang tidak membuang waktu, menerbitkan lebih dari 140 versi paket berbahaya di bawah namespace Mastra, menjangkau basis pengguna yang menghasilkan lebih dari satu juta unduhan setiap minggunya.
Yang membuat insiden ini sangat licik adalah kode Mastra itu sendiri tetap tidak tersentuh, karena malware tersebut disembunyikan di dalam sebuah ketergantungan yang baru ditambahkan Disebut easy-day-js. Paket ini merupakan klon dari pustaka tanggal populer, yang dirancang agar tampak sepenuhnya tidak berbahaya bagi pengembang mana pun yang sekilas memeriksa pohon dependensi mereka. Dengan menggunakan rentang versi yang mengambang, penyerang memastikan bahwa setiap instalasi baru akan secara otomatis menarik versi yang telah dimodifikasi, secara efektif membuka pintu belakang ke dalam workstation pengembang atau runner CI/CD.
Kelompok peneliti telah mencatat sedikit perbedaan dalam jumlah total artefak yang terpengaruh, dengan jumlah yang berkisar dari 116 hingga 145 paket tergantung pada waktu analisis dilakukan. Hal ini menyoroti sifat mudah berubah dari kampanye-kampanye ini, di mana penyerang dapat mempublikasikan, memodifikasi, dan menghapus bukti dengan cepat, sehingga tim keamanan kesulitan untuk memetakan sepenuhnya jangkauan kerentanan sebelum jejaknya tertutupi.
Axios Dibajak: Koneksi plain-crypto-js
Situasinya menjadi semakin suram ketika Axios, klien HTTP andalan bagi pengembang JavaScript, terkena serangan serupa. peristiwa pembajakan akunVersi 1.14.1 dan 0.30.4 dirilis dengan dependensi tersembunyi bernama plain-crypto-js, yang berfungsi sebagai Trojan Akses Jarak Jauh (RAT) lintas platform. Malware ini dirancang khusus untuk menginventarisasi sistem, membangun persistensi, dan mengeksfiltrasi data sensitif dari lingkungan Windows, macOS, dan Linux.
Analis keamanan dari Unit 42 dan ESET telah mengaitkan pelanggaran Axios dengan pelaku ancaman yang dikenal sebagai Sapphire Sleet atau UNC1069, sebuah kelompok yang dilaporkan terkait dengan kepentingan Korea Utara. Koneksi ini menunjukkan motif finansial yang kuat, karena malware tersebut berisi modul khusus untuk menemukan dan menargetkan ekstensi dompet mata uang kripto. Ini adalah kasus klasik spionase digital berisiko tinggi yang bersembunyi di depan mata dalam alat yang kita gunakan untuk membangun aplikasi web dasar.
Eksekusi teknisnya sangat efisien dan menakutkan, seringkali menyelesaikan seluruh siklus infeksi dalam waktu singkat. kurang dari lima belas detikSetelah muatan berbahaya diluncurkan, penginstal melakukan pembersihan agresif, menghapus file pengaturan berbahaya dan mengganti manifes yang dimodifikasi dengan umpan yang tampak bersih. Tingkat kesadaran forensik ini berarti bahwa seorang pengembang dapat melihat folder node_modules mereka hanya beberapa menit setelah infeksi dan sama sekali tidak melihat sesuatu yang luar biasa.
Mekanika Teknis dari Pengait Pasca-Instalasi
Mesin utama untuk serangan ini adalah hook npm postinstall, sebuah fitur yang memungkinkan paket untuk menjalankan skrip secara otomatis setelah instalasi. Meskipun ditujukan untuk tugas konfigurasi yang sah, hal itu telah menjadi pintu terbuka lebar bagi para penyerang. Baik dalam kasus Mastra maupun Axios, skrip postinstall meluncurkan loader yang disamarkan yang menonaktifkan verifikasi sertifikat TLS, memungkinkan malware untuk berkomunikasi dengan server command-and-control tanpa terdeteksi oleh alat inspeksi jaringan standar.
Setelah tahap kedua dari malware tersebut diambil, malware tersebut sering kali muncul sebagai proses terpisah, yang berarti kode berbahaya tersebut akan terus berjalan di latar belakang Bahkan setelah proses instalasi npm selesai. Pada sistem Windows, malware tersebut teramati membajak biner yang sah seperti PowerShell untuk menjalankan skripnya, sementara pada macOS dan Linux, malware tersebut menggunakan layanan tingkat sistem untuk memastikan keberadaannya tetap ada setelah reboot, sehingga penghapusan paket secara sederhana menjadi tidak efektif.
Selain mencuri kripto, implan ini mampu merekam riwayat penelusuran dan melakukan pencarian. kredensial penyedia cloud atau kunci SSH. Bagi perusahaan rintisan teknologi, ini adalah skenario mimpi buruk di mana lingkungan lokal pengembang menjadi pintu gerbang bagi penyerang untuk bergerak secara lateral ke server produksi atau repositori kode pribadi. Ternyata keamanan perusahaan Anda mungkin bergantung pada orang asing yang tidak mengalami hari buruk dengan manajemen kata sandinya.
Memperkuat Sistem Distribusi terhadap Ancaman di Masa Depan
Alat keamanan standar seperti npm audit seringkali gagal mendeteksi insiden ini pada tahap awal karena alat tersebut bergantung pada basis data kerentanan yang diketahui yang dapat tertinggal di belakang kampanye malware aktif. Untuk benar-benar melindungi organisasi, tim harus beralih ke pertahanan yang lebih proaktif, seperti menjalankan instalasi dengan flag –ignore-scripts Secara default. Langkah sederhana ini mencegah eksekusi hook postinstall, yang merupakan vektor utama untuk sebagian besar serangan rantai pasokan berbasis npm.
Strategi penting lainnya melibatkan peralihan ke model zero-trust untuk dependensi. Dengan menggunakan berkas kunci beku dan registri pribadiPerusahaan dapat membuat zona penyangga di mana versi paket baru dianalisis untuk anomali perilaku sebelum diizinkan masuk ke dalam pipeline build utama. Membatasi akses keluar jaringan dari runner CI/CD hanya ke domain yang disetujui juga dapat memutus rantai komunikasi yang dibutuhkan malware untuk mengambil payload sekundernya atau mengeksfiltrasi token yang dicuri.
Pada akhirnya, tanggung jawab terletak pada pengelola dan pengguna perangkat lunak sumber terbuka untuk memperketat kontrol akses dan menerapkan otentikasi multi-faktor yang tidak dapat dilewati oleh token otomatisasi. Seiring perkembangan industri, memperlakukan setiap pustaka pihak ketiga sebagai potensi risiko dan bukan aset tepercaya adalah satu-satunya cara untuk menghadapi era di mana rantai pasokan itu sendiri telah menjadi salah satu senjata paling efektif dalam persenjataan peretas.
