### Hacker Menyusup ke Paket NPM Jscrambler dengan Malware Pencuri Info

Baru-baru ini, jagat pengembangan dikejutkan oleh insiden keamanan serius. Perusahaan keamanan web sisi klien Jscrambler mengumumkan bahwa **Hackers Backdoor JScrambler NPM Package with Infostealer Malware**. Pelaku ancaman berhasil menerbitkan versi berbahaya dari paket npm mereka, yang sayangnya telah diunduh hampir 1.500 kali sebelum terdeteksi.

Insiden ini terjadi pada paket `jscrambler`, yang merupakan bagian dari produk Code Integrity mereka. Versi-versi yang terkena dampak meliputi 8.14, 8.16, 8.17, dan 8.20. Malware pencuri informasi tersebut bekerja saat ‘preinstall’ hook, sebuah mekanisme yang sangat berbahaya karena bisa mengeksekusi kode jahat bahkan sebelum paket terinstal sepenuhnya.

Jscrambler bertindak cepat. Meskipun paket berbahaya itu bertahan selama dua jam, pengembang segera mendeprekasinya dan merilis versi aman, yaitu 8.22. Dalam waktu singkat itu, data dari Node Package Manager (npm) menunjukkan bahwa paket berbahaya ini diunduh sebanyak 1.479 kali. Selain paket utama, ada empat paket Jscrambler lain yang bergantung padanya; vendor juga mendeprekasi dan menggantinya dengan versi baru. Jscrambler menegaskan bahwa insiden ini hanya terbatas pada paket npm tersebut dan tidak memengaruhi produk Jscrambler lainnya, termasuk Webpage Integrity.

### Apa itu Jscrambler dan Mengapa Ini Penting?

Jscrambler adalah platform komersial yang berfokus pada perlindungan aplikasi JavaScript web dan seluler dari rekayasa balik serta pengubahan. Dengan sekitar 17.000 unduhan mingguan, layanan ini memungkinkan pengembang mengunggah kode JavaScript mereka untuk dilindungi dari modifikasi. Ini sangat penting untuk mencegah injeksi kode berbahaya secara *real-time*.

Kompromi ini pertama kali dideteksi dan dianalisis oleh perusahaan keamanan aplikasi Socket. Penelitian mereka mengungkap bahwa malware ini adalah **infostealer** yang dirancang untuk menargetkan berbagai jenis data sensitif.

### Data Apa Saja yang Diincar Infostealer?

Malware ini memiliki cakupan target yang luas dan mengkhawatirkan bagi para pengembang:

*   **Kode sumber dan file proyek**.
*   **Kredensial pengembang dan rahasia**, seperti token Git, SSH, variabel lingkungan, dan token CI/CD.
*   **Kredensial cloud dan pengelola rahasia**, termasuk AWS, Azure, GCP, dan Kubernetes.
*   **Alat coding AI dan konfigurasi MCP**, seperti Claude, Cursor, Windsurf, VS Code, dan Zed.
*   **Dompet mata uang kripto dan frasa benih (seed phrases)** dari MetaMask, Phantom, Coinbase, Exodus, dan Trust Wallet.
*   **Data browser**, seperti *cookies* dan kredensial yang tersimpan.
*   **Aplikasi pesan dan kolaborasi**, termasuk Slack, Discord, dan Telegram.

Untuk mempersulit analisis, malware ini menggunakan teknik **obfuscation** yang kuat pada setiap *string* melalui algoritma enkripsi ChaCha20-Poly1305. Ini menunjukkan tingkat kecanggihan yang patut diwaspadai.

### Penyebab dan Rekomendasi Keamanan

Menurut Jscrambler, kompromi ini terjadi karena kredensial penerbitan npm mereka telah disusupi. Setelah insiden tersebut, Jscrambler segera mencabut kredensial yang disusupi dan menerapkan kontrol keamanan tambahan pada *pipeline* penerbitan mereka.

Bagi pengembang yang mungkin telah menggunakan paket npm berbahaya ini, Jscrambler memberikan rekomendasi tegas:
1.  **Anggap lingkungan Anda telah disusupi**.
2.  **Rotasi semua rahasia** (kata sandi, token, kunci API).
3.  **Pulihkan dari *backup* yang aman** dan terverifikasi.
4.  **Pastikan Anda menggunakan versi terbaru** dari produk Jscrambler.

Insiden ini kembali mengingatkan kita akan pentingnya keamanan rantai pasok (*supply chain security*) dalam ekosistem pengembangan modern. Selalu waspada terhadap setiap dependensi yang Anda gunakan.

## Referensi
https://www.bleepingcomputer.com/news/security/hackers-backdoor-jscrambler-npm-package-with-infostealer-malware/

Jscrambler melaporkan paket npm mereka disusupi malware pencuri informasi yang menargetkan data sensitif pengembang setelah kredensial penerbitan npm dikompromikan.

Hacker Menyusup ke Paket NPM Jscrambler dengan Malware Pencuri Info

Reggi

Dunia AI sedang heboh, tapi bukan karena inovasi baru. Justru sebaliknya, platform yang seharusnya jadi sarana kolaborasi AI, Hugging Face, kini dimanfaatkan peretas. Ya, **hackers use Hugging Face to distribute malicious models** atau lebih tepatnya, malware. Ini bukan sekadar isu kecil. Sebuah aktor ancaman yang dikaitkan dengan Korea Utara telah mengubah Hugging Face menjadi saluran pengiriman malware tahap kedua dan *backend* eksfiltrasi data *real-time* untuk serangan rantai pasokan npm yang sangat canggih. Targetnya jelas: para pengembang perangkat lunak di seluruh dunia.

## Awal Mula Serangan: Paket npm Menipu

Serangan ini dimulai dengan cara yang terlihat sederhana namun menipu. Paket npm bernama “terminal-logger-utils” muncul, didesain agar terlihat seperti utilitas pengembangan biasa. Siapa sangka, ini adalah pintu masuk ancaman serius. Tiga paket tambahan, "pretty-logger-utils", "ts-logger-pack", dan "pinno-loggers", ikut mengimpor dan menyebarkan perilaku berbahaya ini, menempatkan setiap pengembang yang menginstalnya dalam risiko serius.

Di balik paket-paket polos ini, ada aktor ancaman yang diselidiki oleh peneliti dari OX Security. Mereka berhasil melacak akun "jpeek895" yang bertanggung jawab atas paket-paket berbahaya ini. Akun tersebut bukan wajah baru, sudah pernah ditandai di kmsec.uk karena mengunggah paket npm serupa yang terkait langsung dengan aktivitas Korea Utara (DPRK).

## Ancaman di Balik Kedok: Malware Multi-Fungsi

Malware yang disebarkan ini memiliki kemampuan luar biasa dan berbahaya. Ia mampu mencuri data Telegram, kunci SSH, dompet cryptocurrency, basis data login *browser*, file konfigurasi *cloud*, hingga variabel lingkungan di berbagai *drive*. Yang lebih parah, paket ini menunjukkan perilaku *keylogger*, *infostealer*, dan *remote access trojan* (RAT) sekaligus. Artinya, perangkat lunak ini bisa merekam setiap ketikan Anda, mencuri informasi penting, dan bahkan memberikan kendali penuh kepada penyerang atas mesin Anda.

## Hugging Face, Senjata Tersembunyi untuk Menghindari Deteksi

Apa yang membuat serangan ini begitu mencolok adalah bagaimana penyerang dengan cerdik menggunakan Hugging Face untuk tetap tidak terdeteksi. Bayangkan, daripada mengoperasikan server mencurigakan sendiri untuk pengiriman malware, mereka justru menampung *binary* tahap kedua di platform Hugging Face. Situs ini, yang secara umum dianggap aman dan tepercaya oleh sebagian besar filter keamanan, menjadi jembatan sempurna bagi para peretas.

Data curian juga tidak diunggah ke server asing yang mudah dicurigai. Sebaliknya, data tersebut diunggah ke *dataset* pribadi di Hugging Face. Cara ini membuat aktivitas eksfiltrasi data luput dari pengawasan dan mudah menghindari deteksi. Akun *maintainer* npm yang terhubung dengan paket dependen, yaitu pvnd3540749, yggedd817513, dan jpeek886, masing-masing berperan dalam penyebaran infeksi ini.

## Bagaimana Malware Bekerja: Aspek Teknis

Bagi para *developer*, memahami cara kerja malware ini adalah kunci untuk perlindungan diri. Titik masuk malware ini adalah *hook* `postinstall` yang tertanam dalam file `package.json` paket.

```json
// Contoh tampilan postinstall hook yang berbahaya
{
  "name": "terminal-logger-utils",
  "version": "1.0.0",
  "description": "A development utility.",
  "scripts": {
    "postinstall": "node utils.cjs"
  }
}
```

Ketika seorang *developer* menjalankan `npm install`, *hook* ini secara diam-diam membuka file bernama `utils.cjs`. File ini adalah *malware dropper* yang di-*obfuscate*, bertugas memeriksa sistem operasi korban. Setelah itu, ia mengambil *binary* yang sesuai dari Hugging Face.

*Binary* yang diunduh adalah Node.js Single Executable Application, sebuah file gabungan yang berisi *implant* JavaScript berbahaya secara keseluruhan. Begitu berjalan, *implant* ini terhubung kembali ke server penyerang melalui koneksi WebSocket. Koneksi ini memberikan operator kendali penuh atas mesin, termasuk kemampuan untuk membaca dan menulis file, mengeksekusi perintah *shell*, menangkap tangkapan layar, dan menyuntikkan input.

Secara paralel, sebuah *background loop* juga berjalan saat startup. Ia terus-menerus mencatat penekanan tombol (*keystroke*), memantau *clipboard*, dan mengirim data yang dicuri ke *HTTP endpoint* penyerang. Semua ini terjadi tanpa tanda-tanda yang terlihat oleh pengembang.

## Persistensi dan Pembaruan: Malware yang Sulit Dilenyapkan

Setelah *implant* mendarat di mesin Windows, ia menginstal dirinya di jalur `%LOCALAPPDATA%\MicrosoftSystem64`. Nama direktori ini sengaja dipilih agar menyerupai folder sistem Microsoft yang sah.

Malware ini kemudian mendaftarkan mekanisme persistensi *login* melalui *launcher* VBS tersembunyi dan *scheduled task*. Sebuah *registry Run key* juga disiapkan sebagai cadangan jika metode utama gagal.

Pada jalankan pertamanya, malware juga memeriksa apakah perlu memperbarui dirinya. Caranya dengan menghubungi repositori Hugging Face milik operator. Kemampuan pembaruan otomatis ini berarti penyerang dapat secara diam-diam mengganti atau meningkatkan *implant* tanpa harus menginfeksi ulang korban.

## Lindungi Diri Anda: Langkah-langkah Pencegahan

Bagi para *developer* yang telah menginstal salah satu paket yang disebutkan selama periode aktif serangan, Anda harus berasumsi lingkungan Anda telah dikompromikan dan segera bertindak.

*   **Hapus malware** dari mesin yang terinfeksi.
*   **Blokir semua permintaan jaringan** ke indikator kompromi yang diketahui.
*   **Lakukan rotasi kunci penuh** dan aktifkan otentikasi dua faktor (2FA) di semua akun penting.
*   **Perlakukan setiap *script* `postinstall`** di paket yang tidak dikenal sebagai tidak tepercaya secara *default*.
*   **Utamakan instalasi berbasis *lockfile*** menggunakan `npm ci` di semua lingkungan CI (Continuous Integration) dan *build pipeline*. Ini memastikan dependensi diinstal berdasarkan *lockfile* yang ada, bukan versi terbaru yang mungkin berbahaya.

Serangan ini menunjukkan betapa pentingnya kewaspadaan dalam ekosistem pengembangan modern. Bahkan platform terpercaya pun bisa disalahgunakan.

## Referensi
https://cybersecuritynews.com/hackers-use-hugging-face/

Peretas yang terkait dengan Korea Utara menggunakan platform AI Hugging Face untuk menyebarkan malware tahap kedua dan mencuri data dalam serangan rantai pasokan npm yang canggih. Serangan ini menargetkan pengembang perangkat lunak dengan paket-paket npm berbahaya yang menyamar sebagai utilitas pengembangan.

Mengungkap Modus Baru: Peretas Manfaatkan Hugging Face untuk Distribusi Malware

Solusi praktis integrasi webmail custom ke dalam dashboard Gmail. Kelola, baca, dan kirim email domain pribadi langsung dari satu tempat tanpa ribet gonta-ganti tab.

Mengapa Kamu Masih Buka Dua Tab Terpisah? Panduan Setup Custom Webmail Langsung di Dashboard Gmail

Pelajari efisiensi merakit mesin tetas telur listrik AC otomatis dengan modal murah untuk mendongkrak hasil ternak unggas tanpa repot bolak-balik telur manual.

Otomasi Ternak Unggas: Kenapa Rakit Sendiri Mesin Penetas Telur AC Jauh Lebih Worth It Dibanding Cara Konvensional?

Pelajari bagaimana mesin tetas telur berbasis arus listrik DC bekerja menjaga suhu dan kelembapan ideal untuk mendongkrak keberhasilan penetasan telur unggas.

Mesin Tetas Telur Arus DC: Solusi Hardware Murah Buat Tingkatin Angka Penetasan Unggas

Kupas tuntas seluk-beluk mobil aki anak dengan kontrol ganda dan fitur multimedia. Pahami batas spesifikasi hardware sebelum eksekusi build sendiri.

EV Versi Mini: Membedah Mobil Listrik Aki Lengkap dengan Remote Control dan Fitur Multimedia

Pelajari cara merakit smart power strip berbasis NodeMCU dan Blynk untuk kontrol daya nirkabel serta integrasi IoT yang aman dan efisien.

Mengapa Beli Mahal Kalau Bisa Bikin Sendiri? Rancang Smart Power Strip Berbasis NodeMCU dan Blynk

Solusi tuntas mengatasi bug sistem dan software bermasalah di MacBook dengan panduan install ulang macOS lewat Internet Recovery secara aman.

#npm

Getting Lastest Post..

Populer Bulan Ini