Pengantar Insiden
Para peneliti keamanan siber CloudSEK dan Checkmarx mengungkap kampanye malware rantai pasok npm yang berlangsung lama, menargetkan paket npm publik dengan tujuan memanfaatkan sistem target melalui pengunduhan paket jahat. Sampai saat ini, delapan paket npm yang berisi kode berbahaya telah diunduh lebih dari 40.767 kali, menyebarkan Remote Access Trojan (RAT) Overlord serta komponen pencuri data (stealer) ke host yang terkompromi.
Detail Teknis Ancaman
Kampanye ini, diberi nama kode MALFEX, diduga merupakan karya seorang aktor tunggal. Sejak Agustus 2023, penyerang telah mempublikasikan 12 paket npm, di mana delapan di antaranya berisi skrip berbahaya yang dieksekusi saat paket diinstal. Paket-paket tersebut memanfaatkan fungsi postinstall dan prepublish untuk menyisipkan payload JavaScript yang mengunduh binari eksternal, kemudian memanfaatkan modul child_process untuk mengeksekusi perintah shell. Payload ini menginstal RAT Overlord, yang berfungsi sebagai agen remote, serta stealer yang mengekstrak kredensial, cookie, dan data sensitif lainnya dari lingkungan pengguna. RAT menggunakan protokol WebSocket terenkripsi untuk menghubungkan kembali ke server komando dan kontrol (C&C), memungkinkan perintah jarak jauh, exfiltrasi data, dan pembuatan backdoor.
Dampak terhadap Sistem dan Data Pengguna
Setelah berhasil menginstal paket, RAT Overlord dapat memperoleh hak administratif pada mesin Windows, Linux, dan macOS, tergantung pada konfigurasi sistem. Stealer yang terpasang mencuri kredensial login, token API, dan data sensitif lainnya, yang kemudian diekspor ke server C&C. Penyerang dapat memanfaatkan akses ini untuk melakukan lateral movement, mencuri data sensitif, atau menggerakkan ransomware. Selain itu, karena paket npm bersifat publik, organisasi yang menggunakan paket tersebut tanpa verifikasi ketat berisiko tinggi terkena serangan, bahkan jika hanya menggunakan paket tersebut sebagai dependensi.
Rekomendasi Mitigasi dan Langkah Keamanan
- Audit dan Pemantauan Dependensi – Lakukan audit menyeluruh terhadap semua paket npm yang digunakan. Gunakan alat seperti npm audit, Snyk, atau Dependabot untuk memeriksa kerentanan dan perubahan kode.
- Validasi Paket – Verifikasi checksum, tanda tangan GPG, atau sertifikat publisher sebelum menginstal paket. Hindari paket dengan reputasi rendah atau yang tidak memiliki publikasi teratur.
- Penggunaan Package Lock – Aktifkan
package-lock.jsonatauyarn.lockuntuk mengunci versi dependensi, sehingga tidak terjadi pembaruan tak terduga. - Segregasi Lingkungan – Jalankan proses build dan produksi di lingkungan terisolasi. Batasi hak akses pada mesin build dan gunakan kontainerisasi untuk mengurangi risiko.
- Monitoring dan Deteksi Anomali – Terapkan sistem deteksi intrusi (IDS) dan log monitoring untuk mendeteksi aktivitas RAT seperti koneksi WebSocket tak dikenal atau proses
child_processyang tidak biasa. - Patch dan Update – Pastikan semua sistem operasi, runtime Node.js, dan paket npm selalu terupdate. Terapkan patch keamanan secara cepat.
- Pelatihan dan Kebijakan Keamanan – Edukasi tim pengembang tentang risiko supply chain, serta tetapkan kebijakan penggunaan paket publik yang ketat.
Sumber Referensi: Artikel ini disadur secara otomatis dari publikasi asli. Untuk membaca selengkapnya, silakan kunjungi Eight Malicious npm Packages Downloaded 40,767 Times Deliver Overlord RAT and Stealer.