npm menghadapi malware terselubung dan spam token-farm besar-besaran

Beranda » Ular sanca » npm menghadapi malware terselubung dan spam token-farm besar-besaran

Sebagai pusat ekosistem JavaScript yang tersibuk, registri npm sedang menghadapi dua ancaman yang sangat berbeda pada saat yang bersamaan: sekumpulan kecil paket yang diam-diam mengalihkan pengguna melalui penyamaran, dan kampanye besar-besaran yang menerbitkan sampah secara massal untuk mengejar imbalan kripto. Kedua masalah ini, meskipun berbeda, menunjukkan kesenjangan yang sudah umum dalam pertahanan rantai pasokan.

Para peneliti dari berbagai tim melaporkan bahwa penyerang menggabungkan penyamaran lalu lintas, otomatisasi, dan distribusi sumber terbuka untuk mengarahkan korban ke tujuan yang mencurigakan atau membanjiri indeks dengan paket bernilai rendah dalam skala yang belum pernah terjadi sebelumnya. Kasus-kasus ini menyoroti bagaimana insentif dan perangkat dapat diputarbalikkan melawan komunitas ketika pagar pembatas tertinggal dari kreativitas penyerang.

Pengalihan berbasis penyamaran mengubah paket npm menjadi gerbang lalu lintas

Para peneliti mengidentifikasi tujuh paket npm yang terhubung ke satu aktor yang menggunakan layanan Adspect untuk memisahkan pengguna nyata dari peneliti dan sembunyikan muatan sebenarnyaPaket-paket tersebut, yang dikaitkan dengan akun yang kini telah dihapus bernama "dino_reborn", muncul antara September dan November 2025 dengan jumlah unduhan hanya ratusan.

Enam paket tersebut membawa komponen berukuran sekitar 39 kB yang sidik jari lingkungan, memblokir perkakas pengembang di browser (untuk menghalangi analisis), dan langsung dijalankan melalui pola IIFE JavaScript setelah diimpor. Paket ketujuh, “signals-embed,” menonjol dengan mengirimkan halaman putih yang tidak berbahaya sebagai umpan daripada perilaku jahat yang nyata.

Ketika situs yang ditanamkan dimuat, lalu lintas dikirim melalui titik akhir proxy di asosiasi-googlexyz/adspect-proxyphp, yang membantu menentukan apakah pengunjung tersebut tampak seperti korban atau peneliti. Jika ditandai sebagai korban, pengguna akan melihat CAPTCHA palsu yang pada akhirnya meneruskan ke halaman bertema kripto yang meniru layanan (misalnya, StandX). Jika ditandai sebagai analis potensial, halaman tersebut menampilkan tampilan umpan yang polos dan bahkan memuat klise yang berkaitan dengan perusahaan fiktif yang dijuluki Offlido.

Adspect memasarkan dirinya sebagai layanan penyamaran cloud untuk memblokir lalu lintas yang “tidak diinginkan” seperti bot atau perayap AV, menawarkan paket berjenjang dan menjanjikan “penyamaran antipeluru.” Melihat penyaringan gaya teknologi iklan ini tertanam dalam paket npm masih belum umum, dan para peneliti mencatatnya secara efektif membungkus logika pengatur lalu lintas ke dalam distribusi sumber terbuka Jadi kode tersebut memutuskan secara real time siapa yang mendapat muatan sebenarnya.

Karena logika berjalan segera setelah aset dimuat, tidak diperlukan interaksi pengguna untuk memicu perilaku tersebutAlur eksekusi langsung tersebut—dan blok tingkat peramban pada alat pengembang—mempersulit analisis dan membantu menyembunyikan skema dari inspeksi kasual.

Operasi spam npm yang meluas didorong oleh hadiah token

Dalam perkembangan terpisah, tim keamanan menemukan serangkaian besar paket npm spam diterbitkan secara bertahap selama kurang lebih dua tahun, yang awalnya tampak jinak tetapi dirancang untuk replikasi dan keuntungan finansial. Secara kolektif dikenal sebagai “IndonesianFoods,” upaya ini menggunakan skema penamaan yang konsisten yang memasangkan nama depan acak orang Indonesia dengan istilah makanan dan berbagai sufiks untuk menghasilkan ribuan paket yang kedengarannya masuk akal.

Di permukaan, banyak entri tampak sah—beberapa bahkan mengirimkan templat Next.js fungsional. Tapi terkubur di dalamnya ada file-file yang tidak terpakai seperti auto.js or publishScript.js bahwa, ketika dijalankan secara manual, menghasilkan paket-paket baru dengan kecepatan tinggi, versi yang disempurnakan, dan batasan privasi yang dihapus. Otomatisasi yang mudah diluncurkan inilah—alih-alih perilaku seperti worm yang benar-benar otonom—yang mendorong skalabilitas yang cepat.

Jaringan spam sering merujuk pada delapan hingga sepuluh dependensi palsu lainnya, memperbesar dampak melalui rantai ketergantunganInstal satu, dan npm mungkin diam-diam menarik lusinan lainnya, memperbesar kekacauan registri tanpa menimbulkan bahaya langsung dan nyata pada mesin pengembang.

Monetisasi tampaknya terkait dengan Hadiah sumber terbuka protokol TEABeberapa paket termasuk teh.yaml menunjuk ke akun dan alamat dompet tertentu—menunjukkan upaya untuk meningkatkan skor dampak dan mengekstrak pembayaran tokenDokumentasi dalam beberapa kasus bahkan menyebutkan pendapatan ini, memperkuat gagasan tentang rencana yang terkoordinasi dan berorientasi pada keuntungan, alih-alih eksperimen acak.

Berbagai kelompok penelitian mengukur gelombang pada berbagai tahap: temuannya berkisar dari sekitar 43,000 unggahan spam di awal kampanye hingga lebih dari 100,000 kemudian, dengan Amazon Inspector akhirnya melaporkan lebih dari 150,000 paket di beberapa akun pada pertengahan November 2025. Pertumbuhan yang terekspos batas kecepatan registrasi, pemeriksaan metadata, dan deteksi pola sebagai area yang membutuhkan perhatian.

Mengapa pemindai melewatkannya dan apa yang berubah

Salah satu alasan utama mengapa kampanye ini berlangsung begitu lama adalah karena sebagian besar perburuan perkakas otomatis untuk malware saat instalasi—misalnya, mencurigakan pascainstal kait atau aktivitas sistem berkas. Di sini, muatannya tidak aktif dan tidak direferensikan, sehingga heuristik umum menganggapnya tidak berbahaya. Tanpa pemicu aktif, pemindai sering kali memperlakukan file tambahan sebagai kekacauan yang tidak berbahaya.

Faktor lainnya adalah skala dan irama penerbitan: skrip dapat mendorong paket baru setiap beberapa detik, menciptakan volume yang sangat besar tanpa memicu tanda tangan malware klasik. Laporan mencatat bahwa beberapa sistem data keamanan dibanjiri dengan peringatan, termasuk lonjakan besar dalam Peringatan terkait OSV.

Pada akhir Oktober 2025, Amazon Inspector menerapkan aturan deteksi baru dipasangkan dengan pola yang digerakkan oleh AI untuk menemukan ciri-ciri yang menunjukkan keberadaan tea.yaml, kode kloning atau minimal, penamaan yang dapat diprediksi, sidik jari generasi otomatis, dan rantai ketergantungan melingkar. Setelah mengonfirmasi pola-pola tersebut pada awal November, tim berkoordinasi dengan Yayasan Keamanan Sumber Terbuka (OpenSSF) untuk menetapkan MAL-ID dengan cepat—waktu penyelesaian rata-rata sekitar 30 menit.

Satu hal penting: beberapa komentar awal menyebut kampanye ini sebagai “cacing”. Pembaruan selanjutnya mengklarifikasi bahwa logika replikasi tidak menyebar sendiri; itu harus dilaksanakan. Koreksi itu penting, tetapi hasilnya—banjir paket yang cepat dan terindustrialisasi—masih membebani infrastruktur pendaftaran dan kepercayaan.

Langkah-langkah praktis untuk mengurangi paparan

Organisasi harus mendekati pengurangan risiko npm sebagai proses yang berkelanjutan dan berlapis, memadukan higiene ketergantungan proaktif dengan pengendalian yang berbasis kebijakan dan registri. Langkah-langkah berikut mencerminkan saran dari para peneliti dan pengelola ekosistem.

• Verifikasi ketergantungan terhadap daftar penerbit yang diketahui buruk dan menghapus paket yang mencurigakan atau berkualitas rendah.
• Batasi penerbitan npm izin untuk CI/CD dan pengelola yang diperiksa; mencegah eksekusi skrip replikasi yang tidak disengaja.
• Mengadopsi analisis komposisi perangkat lunak (SCA) yang mampu menandai file yang tidak aktif, penamaan berpola, atau jaringan ketergantungan melingkar.
• Memperkenalkan pembatasan laju dan pemantauan perilaku untuk pengiriman bervolume tinggi; pertimbangkan CAPTCHA dan verifikasi akun yang lebih ketat.
• Perkuat jalur pipa Anda dengan SBOM, penyematan versi, dan CI/CD terisolasi, ditambah pemeriksaan tanda tangan dan asal-usul yang ketat.

Jika digabungkan, langkah-langkah ini mengurangi kebisingan registri sambil membuat perilaku jahat atau manipulatif lebih mudah dikenaliMereka juga mengurangi radius ledakan jika paket yang buruk masuk ke dalam grafik.

Dalam kedua insiden tersebut, inti permasalahannya sederhana: penyerang mengikuti insentif dan titik butaEntah itu logika penyembunyian yang menyaring analis dari korban atau pengumpulan token otomatis yang menenggelamkan pekerjaan yang sah, jawabannya terletak pada visibilitas yang lebih baik, kolaborasi yang lebih cepat, dan kebijakan yang mempersulit dan meningkatkan biaya penyalahgunaan dalam skala besar.

Artikel terkait:

Cacing rantai pasokan npm Shai-Hulud menyerang ratusan proyek