Dunia AI sedang heboh, tapi bukan karena inovasi baru. Justru sebaliknya, platform yang seharusnya jadi sarana kolaborasi AI, Hugging Face, kini dimanfaatkan peretas. Ya, **hackers use Hugging Face to distribute malicious models** atau lebih tepatnya, malware. Ini bukan sekadar isu kecil. Sebuah aktor ancaman yang dikaitkan dengan Korea Utara telah mengubah Hugging Face menjadi saluran pengiriman malware tahap kedua dan *backend* eksfiltrasi data *real-time* untuk serangan rantai pasokan npm yang sangat canggih. Targetnya jelas: para pengembang perangkat lunak di seluruh dunia.

## Awal Mula Serangan: Paket npm Menipu

Serangan ini dimulai dengan cara yang terlihat sederhana namun menipu. Paket npm bernama “terminal-logger-utils” muncul, didesain agar terlihat seperti utilitas pengembangan biasa. Siapa sangka, ini adalah pintu masuk ancaman serius. Tiga paket tambahan, "pretty-logger-utils", "ts-logger-pack", dan "pinno-loggers", ikut mengimpor dan menyebarkan perilaku berbahaya ini, menempatkan setiap pengembang yang menginstalnya dalam risiko serius.

Di balik paket-paket polos ini, ada aktor ancaman yang diselidiki oleh peneliti dari OX Security. Mereka berhasil melacak akun "jpeek895" yang bertanggung jawab atas paket-paket berbahaya ini. Akun tersebut bukan wajah baru, sudah pernah ditandai di kmsec.uk karena mengunggah paket npm serupa yang terkait langsung dengan aktivitas Korea Utara (DPRK).

## Ancaman di Balik Kedok: Malware Multi-Fungsi

Malware yang disebarkan ini memiliki kemampuan luar biasa dan berbahaya. Ia mampu mencuri data Telegram, kunci SSH, dompet cryptocurrency, basis data login *browser*, file konfigurasi *cloud*, hingga variabel lingkungan di berbagai *drive*. Yang lebih parah, paket ini menunjukkan perilaku *keylogger*, *infostealer*, dan *remote access trojan* (RAT) sekaligus. Artinya, perangkat lunak ini bisa merekam setiap ketikan Anda, mencuri informasi penting, dan bahkan memberikan kendali penuh kepada penyerang atas mesin Anda.

## Hugging Face, Senjata Tersembunyi untuk Menghindari Deteksi

Apa yang membuat serangan ini begitu mencolok adalah bagaimana penyerang dengan cerdik menggunakan Hugging Face untuk tetap tidak terdeteksi. Bayangkan, daripada mengoperasikan server mencurigakan sendiri untuk pengiriman malware, mereka justru menampung *binary* tahap kedua di platform Hugging Face. Situs ini, yang secara umum dianggap aman dan tepercaya oleh sebagian besar filter keamanan, menjadi jembatan sempurna bagi para peretas.

Data curian juga tidak diunggah ke server asing yang mudah dicurigai. Sebaliknya, data tersebut diunggah ke *dataset* pribadi di Hugging Face. Cara ini membuat aktivitas eksfiltrasi data luput dari pengawasan dan mudah menghindari deteksi. Akun *maintainer* npm yang terhubung dengan paket dependen, yaitu pvnd3540749, yggedd817513, dan jpeek886, masing-masing berperan dalam penyebaran infeksi ini.

## Bagaimana Malware Bekerja: Aspek Teknis

Bagi para *developer*, memahami cara kerja malware ini adalah kunci untuk perlindungan diri. Titik masuk malware ini adalah *hook* `postinstall` yang tertanam dalam file `package.json` paket.

```json
// Contoh tampilan postinstall hook yang berbahaya
{
  "name": "terminal-logger-utils",
  "version": "1.0.0",
  "description": "A development utility.",
  "scripts": {
    "postinstall": "node utils.cjs"
  }
}
```

Ketika seorang *developer* menjalankan `npm install`, *hook* ini secara diam-diam membuka file bernama `utils.cjs`. File ini adalah *malware dropper* yang di-*obfuscate*, bertugas memeriksa sistem operasi korban. Setelah itu, ia mengambil *binary* yang sesuai dari Hugging Face.

*Binary* yang diunduh adalah Node.js Single Executable Application, sebuah file gabungan yang berisi *implant* JavaScript berbahaya secara keseluruhan. Begitu berjalan, *implant* ini terhubung kembali ke server penyerang melalui koneksi WebSocket. Koneksi ini memberikan operator kendali penuh atas mesin, termasuk kemampuan untuk membaca dan menulis file, mengeksekusi perintah *shell*, menangkap tangkapan layar, dan menyuntikkan input.

Secara paralel, sebuah *background loop* juga berjalan saat startup. Ia terus-menerus mencatat penekanan tombol (*keystroke*), memantau *clipboard*, dan mengirim data yang dicuri ke *HTTP endpoint* penyerang. Semua ini terjadi tanpa tanda-tanda yang terlihat oleh pengembang.

## Persistensi dan Pembaruan: Malware yang Sulit Dilenyapkan

Setelah *implant* mendarat di mesin Windows, ia menginstal dirinya di jalur `%LOCALAPPDATA%\MicrosoftSystem64`. Nama direktori ini sengaja dipilih agar menyerupai folder sistem Microsoft yang sah.

Malware ini kemudian mendaftarkan mekanisme persistensi *login* melalui *launcher* VBS tersembunyi dan *scheduled task*. Sebuah *registry Run key* juga disiapkan sebagai cadangan jika metode utama gagal.

Pada jalankan pertamanya, malware juga memeriksa apakah perlu memperbarui dirinya. Caranya dengan menghubungi repositori Hugging Face milik operator. Kemampuan pembaruan otomatis ini berarti penyerang dapat secara diam-diam mengganti atau meningkatkan *implant* tanpa harus menginfeksi ulang korban.

## Lindungi Diri Anda: Langkah-langkah Pencegahan

Bagi para *developer* yang telah menginstal salah satu paket yang disebutkan selama periode aktif serangan, Anda harus berasumsi lingkungan Anda telah dikompromikan dan segera bertindak.

*   **Hapus malware** dari mesin yang terinfeksi.
*   **Blokir semua permintaan jaringan** ke indikator kompromi yang diketahui.
*   **Lakukan rotasi kunci penuh** dan aktifkan otentikasi dua faktor (2FA) di semua akun penting.
*   **Perlakukan setiap *script* `postinstall`** di paket yang tidak dikenal sebagai tidak tepercaya secara *default*.
*   **Utamakan instalasi berbasis *lockfile*** menggunakan `npm ci` di semua lingkungan CI (Continuous Integration) dan *build pipeline*. Ini memastikan dependensi diinstal berdasarkan *lockfile* yang ada, bukan versi terbaru yang mungkin berbahaya.

Serangan ini menunjukkan betapa pentingnya kewaspadaan dalam ekosistem pengembangan modern. Bahkan platform terpercaya pun bisa disalahgunakan.

## Referensi
https://cybersecuritynews.com/hackers-use-hugging-face/

Peretas yang terkait dengan Korea Utara menggunakan platform AI Hugging Face untuk menyebarkan malware tahap kedua dan mencuri data dalam serangan rantai pasokan npm yang canggih. Serangan ini menargetkan pengembang perangkat lunak dengan paket-paket npm berbahaya yang menyamar sebagai utilitas pengembangan.

Mengungkap Modus Baru: Peretas Manfaatkan Hugging Face untuk Distribusi Malware

Reggi

Solusi praktis integrasi webmail custom ke dalam dashboard Gmail. Kelola, baca, dan kirim email domain pribadi langsung dari satu tempat tanpa ribet gonta-ganti tab.

Mengapa Kamu Masih Buka Dua Tab Terpisah? Panduan Setup Custom Webmail Langsung di Dashboard Gmail

Pelajari efisiensi merakit mesin tetas telur listrik AC otomatis dengan modal murah untuk mendongkrak hasil ternak unggas tanpa repot bolak-balik telur manual.

Otomasi Ternak Unggas: Kenapa Rakit Sendiri Mesin Penetas Telur AC Jauh Lebih Worth It Dibanding Cara Konvensional?

Pelajari bagaimana mesin tetas telur berbasis arus listrik DC bekerja menjaga suhu dan kelembapan ideal untuk mendongkrak keberhasilan penetasan telur unggas.

Mesin Tetas Telur Arus DC: Solusi Hardware Murah Buat Tingkatin Angka Penetasan Unggas

Kupas tuntas seluk-beluk mobil aki anak dengan kontrol ganda dan fitur multimedia. Pahami batas spesifikasi hardware sebelum eksekusi build sendiri.

EV Versi Mini: Membedah Mobil Listrik Aki Lengkap dengan Remote Control dan Fitur Multimedia

Pelajari cara merakit smart power strip berbasis NodeMCU dan Blynk untuk kontrol daya nirkabel serta integrasi IoT yang aman dan efisien.

Mengapa Beli Mahal Kalau Bisa Bikin Sendiri? Rancang Smart Power Strip Berbasis NodeMCU dan Blynk

Solusi tuntas mengatasi bug sistem dan software bermasalah di MacBook dengan panduan install ulang macOS lewat Internet Recovery secara aman.

#korea-utara

Getting Lastest Post..

Populer Bulan Ini