Kampanye Malware 800 Paket NPM Serang Windows, Mac, Dan Linux Dengan Cara Baru

Pomodo.id - Kampanye baru malware yang melibatkan hampir 800 paket berbahaya telah dipublikasikan di npm registry, menargetkan sistem operasi Windows, Mac, dan Linux secara bersamaan. Para peneliti keamanan dari OpenSourceMalware mengungkapkan bahwa paket-paket ini menggunakan nama yang tampaknya dihasilkan secara acak atau berbasis kesalahan ketik, namun semuanya pada dasarnya menginfeksi sistem dengan sebuah Trojan Akses Jarak Jauh (RAT) dan paket pengumpul informasi. Berbeda dengan serangan rantai pasokan npm yang menggunakan hook siklus hidup seperti preinstall atau postinstall untuk mengeksekusi kode berbahaya, paket-paket ini menyertakan panduan di README agar pengembang memuatnya dengan fungsi `require()`. Hal ini menjadi pintu masuk yang dirancang untuk mengeksekusi alat yang disebut WEL1DROPPER, yang kemudian akan mengambil payload yang tepat sesuai dengan sistem operasi dan arsitektur prosesor yang terdeteksi.Dalam deteksi mereka, para peneliti mencatat bahwa saat WEL1DROPPER dieksekusi, ia melakukan identifikasi terhadap host dan mendapatkan payload dari salah satu tiga domain Cloudflare Worker yang telah ditentukan. Jika pengunduhan berbasis HTTPS gagal, malware akan beralih ke domain specific yang menggunakan catatan TXT DNS untuk mendapatkan tahap selanjutnya dari domain lain. Ini menunjukkan bahwa serangan ini dirancang untuk dapat menyesuaikan diri dengan berbagai lingkungan sistem yang ada.Sementara itu, pada tanggal 3 Agustus 2026, Manifold Security mengumumkan penemuan 77 ekstensi jahat di marketplace Open VSX yang menyamar sebagai alat pengembang yang sah. Ekstensi tersebut, yang diunggah antara tanggal 26 Juli dan 1 Agustus, memiliki kemampuan untuk mencuri informasi tentang sistem dan lingkungan pengembangan tempat mereka diinstal. Mayoritas ekstensi tersebut dirancang untuk mengirimkan nama host komputer serta informasi lain yang relevan mengenai sistem yang terpengaruh. Para peneliti mencatat bahwa sebagian ekstensi mengirim data yang lebih mendalam, seperti nama pengguna dan detail perangkat keras, yang dapat membantu penyerang dalam melakukan serangan lebih lanjut.Paket jahat ini sejalan dengan tren peningkatan penggunaan alat RMM (Remote Monitoring and Management) secara ilegal dengan mengeksploitasi kehadiran mereka di lingkungan perusahaan. Misalnya, baru-baru ini, kampanye yang dikenal sebagai SMOKE#SCREEN menggunakan taktik rekayasa sosial melalui pembaruan perangkat lunak Adobe dan Zoom untuk menyebarkan program-program RMM ini. Alat seperti ConnectWise ScreenConnect, yang sering digunakan untuk dukungan TI, disalahgunakan oleh penyerang untuk mendapatkan akses jarak jauh yang berkelanjutan terhadap sistem yang terinfeksi.Trojan Akses Jarak Jauh (RAT) adalah jenis malware yang memungkinkan penyerang untuk mengakses dan mengendalikan komputer atau perangkat secara jarak jauh tanpa sepengetahuan pengguna. Serangan ini sering kali dimulai dengan suatu bentuk rekayasa sosial, seperti mengunduh perangkat lunak yang tampak sah, tetapi berbeda dari malware biasa, RAT bisa memberikan akses penuh kepada penyerang terhadap informasi yang sensitif dan kontrol atas sistem. Memahami fungsi RAT penting untuk meningkatkan kesadaran akan betapa seriusnya ancaman siber ini.Kombinasi dari serangan ini menunjukkan pendekatan baru dalam dunia siber, di mana penyerang memanfaatkan alat-alat yang sah untuk menyamarkan aktivitas jahat mereka. Kejadian seperti ini menyoroti perlunya pengguna dan organisasi di Indonesia untuk lebih waspada terhadap potensi serangan. Dengan meningkatnya peralihan ke praktik pengembangan yang lebih terintegrasi dengan teknologi berbasis cloud, prospek serangan yang memanfaatkan celah dalam siklus hidup pengembangan perangkat lunak diperkirakan akan terus meningkat, dan langkah-langkah keamanan yang lebih ketat harus dipertimbangkan untuk melindungi data dan sistem yang berharga.