Peretas Korea Utara Membajak Pustaka Axios dalam Serangan Rantai Pasok Canggih yang Menargetkan Mata Uang Kripto

Jutaan Pengembang Terpapar setelah Penyerang Meracuni Repositori Kode Populer

Peretas yang diduga berasal dari Korea Utara melancarkan salah satu serangan rantai pasok paling canggih secara operasional dalam beberapa tahun terakhir dengan menyusupi Axios, pustaka JavaScript yang diunduh sekitar 100 juta kali setiap pekan. Serangan yang berlangsung sekitar tiga jam pada dini hari 31 Maret itu menyisipkan kode berbahaya ke dalam perangkat lunak yang digunakan ribuan perusahaan di sektor kesehatan, keuangan, bursa mata uang kripto, dan teknologi. Peneliti keamanan memperkirakan versi yang telah diracuni diunduh oleh sekitar tiga persen pengguna pustaka tersebut, sehingga berpotensi memaparkan ratusan ribu sistem pada trojan akses jarak jauh yang dirancang untuk mencuri mata uang kripto dan kredensial perusahaan.

Axios berfungsi sebagai klien HTTP berbasis promise yang memungkinkan permintaan API asinkron dari Node.js maupun peramban, sehingga menjadi komponen dasar aplikasi web modern. Perusahaan, mulai dari penyedia layanan kesehatan hingga lembaga keuangan, mengandalkan pustaka ini untuk menyederhanakan pembuatan situs web dan pertukaran data. Sejumlah perusahaan mata uang kripto dan perusahaan teknologi yang aktif di industri aset digital juga menggunakan perangkat lunak ini, menjadikan mereka sasaran yang sangat berharga bagi operasi siber Pyongyang untuk menghasilkan pendapatan. Penggunaan Axios secara luas di lingkungan perusahaan membuat kompromi ini menimbulkan risiko berantai bagi dependensi hilir dan layanan terintegrasi.

Google Threat Intelligence Group secara resmi mengaitkan insiden tersebut dengan UNC1069, aktor ancaman Korea Utara yang bermotif finansial dan telah aktif setidaknya sejak 2018. Kelompok ini dikenal menargetkan bursa mata uang kripto, platform keuangan terdesentralisasi, dan perusahaan modal ventura untuk mendanai program nuklir dan rudal Pyongyang. Menurut Mandiant, perusahaan intelijen yang dimiliki Google, insiden ini merupakan eskalasi terbaru dalam kampanye Korea Utara untuk menjadikan rantai pasok perangkat lunak global sebagai senjata terhadap sasaran ekonomi bernilai tinggi.

Charles Carmakal, chief technology officer Mandiant, menjelaskan bahwa ancaman ini dapat berlangsung dalam jangka panjang.

Kami memperkirakan mereka akan mencoba menggunakan kredensial dan akses sistem yang baru-baru ini diperoleh dalam serangan rantai pasok perangkat lunak ini untuk menargetkan perusahaan dan mencuri mata uang kripto. Dampak hilir dari kampanye ini kemungkinan baru dapat dinilai dalam hitungan bulan.

John Hammond, peneliti keamanan di Huntress, mengatakan perusahaannya telah mengidentifikasi sekitar 135 perangkat yang disusupi milik sekitar 12 perusahaan. Namun, ia memperkirakan jumlah itu baru gelombang awal temuan, seiring organisasi menyelesaikan audit forensik.

Cara Kerja Kompromi Rantai Pasok

Serangan dimulai ketika peretas mengambil alih akun npm milik @jasonsaayman, pengelola utama pustaka Axios. Alih-alih mengeksploitasi kerentanan zero-day yang canggih, pelaku ancaman menggunakan token akses berumur panjang untuk melewati kontrol keamanan modern, termasuk alur autentikasi berbasis OpenID Connect. Dengan cara ini, mereka dapat menerbitkan dua versi perangkat lunak yang telah disisipi trojan, 1.14.1 dan 0.30.4, langsung ke registri Node Package Manager tanpa memicu peringatan keamanan standar atau memerlukan autentikasi multifaktor.

Hammond menyoroti kelemahan konfigurasi penting yang memungkinkan serangan ini. Bahkan pada cabang v1.x yang telah dikonfigurasi dengan OIDC Trusted Publishing, alur kerja penerbitan masih meneruskan NPM_TOKEN sebagai variabel lingkungan bersama kredensial OIDC. Jika keduanya tersedia, npm menggunakan token tersebut. Artinya, token berumur panjang itu pada praktiknya menjadi metode autentikasi bagi semua penerbit, terlepas dari konfigurasi OIDC. Kelalaian arsitektural ini memungkinkan penyerang melewati perlindungan meski pengelola telah mengaktifkan autentikasi multifaktor pada akunnya, menunjukkan bagaimana mekanisme autentikasi lama dapat melemahkan kerangka keamanan modern.

Para penyerang menunjukkan persiapan yang cermat dan kesabaran. Delapan belas jam sebelum serangan utama, mereka menerbitkan versi bersih dari dependensi bayangan bernama plain-crypto-js untuk membangun riwayat penerbitan dan menghindari kecurigaan terhadap akun tanpa riwayat. Dua puluh menit sebelum rilis Axios berbahaya pertama, mereka mengunggah versi senjata dari dependensi tersebut, yang memuat skrip pascapemasangan yang dirancang untuk berjalan otomatis saat pengembang memasang atau memperbarui pustaka yang telah disusupi. Rilis berpintu belakang kedua menyusul hanya 39 menit kemudian, menandakan kelompok tersebut telah mengotomatiskan alur penerapannya untuk memaksimalkan distribusi dalam jendela kesempatan yang sempit.

Selama serangan berlangsung, para pengelola menghadapi kendala besar untuk merebut kembali kendali. Dalam isu GitHub publik, seorang kontributor mengatakan mereka tidak dapat mencabut akses dari akun yang bertanggung jawab atas penerbitan berbahaya itu, dan mencatat bahwa izin penyerang lebih tinggi daripada izin mereka. Situasi ini menjadi perlombaan melawan waktu ketika peretas masih memiliki hak penerbitan sementara komunitas pengembang berupaya membatasi kerusakan. NPM akhirnya menghapus versi berbahaya tiga jam setelah pertama kali diterbitkan dan menahan paket plain-crypto-js karena alasan keamanan, lalu menggantinya dengan paket pengganti pemegang keamanan satu jam kemudian.

Malware Lintas Platform Menghadirkan Pintu Belakang Persisten

Setelah terpasang, dependensi berbahaya itu menyebarkan program pengunduh JavaScript tersamarkan bernama SILKBELL, yang mengambil muatan khusus platform dari server perintah dan kendali jarak jauh di sfrclak.com. Untuk sistem Windows, malware tersebut mengirimkan perangkat berbasis PowerShell yang mampu menjalankan perintah arbitrer. Pengguna macOS menerima berkas biner C++ Mach-O, sementara instalasi Linux menjadi sasaran pintu belakang Python. Peneliti keamanan mengidentifikasi malware tahap kedua ini sebagai WAVESHAPER.V2, versi pengembangan pintu belakang yang sebelumnya dikaitkan dengan UNC1069 dalam serangan terhadap sektor mata uang kripto sejak 2023.

Arsitektur teknis serangan ini menunjukkan upaya penyamaran yang disengaja serta pemahaman terhadap berbagai platform. Alih-alih mengubah kode sumber Axios secara langsung, yang akan terlihat di repositori publik dan memicu peringatan peninjauan kode, peretas menyisipkan fungsi berbahaya melalui rantai dependensi. Tidak ada satu baris pun kode berbahaya di dalam axios itu sendiri, dan justru itulah yang membuat serangan ini begitu berbahaya, kata para peneliti di StepSecurity. Paket plain-crypto-js berjalan melalui hook pascapemasangan di berkas package.json, sehingga malware dapat beroperasi diam-diam selama proses instalasi sebelum menghapus jejaknya sendiri dan mengganti metadata paket dengan versi bersih.

WAVESHAPER.V2 mengirim sinyal ke infrastruktur perintah dan kendalinya setiap 60 detik, serta menerima URL C2 dinamis melalui argumen baris perintah. Desain ini memungkinkan penyerang mengganti infrastruktur tanpa perlu menerapkan ulang malware. Pintu belakang tersebut mendukung empat fungsi utama: menghentikan proses eksekusi, mencantumkan direktori beserta metadata berkas terperinci termasuk cap waktu dan ukuran, menjalankan perintah sistem melalui bahasa skrip bawaan seperti AppleScript di macOS atau perintah shell di Linux, serta menyuntikkan berkas biner arbitrer ke dalam proses yang berjalan. Analisis Elastic Security Labs mengungkapkan bahwa berkas biner macOS tersebut merujuk pada jalur build pengembang yang terhubung langsung ke modul webT BlueNoroff dari kampanye malware RustBucket dan Hidden Risk sebelumnya, sehingga memperkuat atribusi kepada Korea Utara.

Mesin Pendapatan Digital Pyongyang

Operasi peretasan Korea Utara telah berkembang menjadi salah satu mekanisme pendanaan utama bagi program senjata nuklirnya yang terkena sanksi. Menurut laporan Perserikatan Bangsa-Bangsa dan perkiraan Gedung Putih yang dirilis pada 2023, sekitar separuh pendanaan pengembangan rudal Pyongyang berasal dari pencurian siber. Dalam beberapa tahun terakhir, para peretas mencuri miliaran dolar dari bank dan perusahaan mata uang kripto. Tahun lalu saja, operator Korea Utara mencuri mata uang kripto senilai $1,5 miliar dalam satu perampokan yang memecahkan rekor, menunjukkan kemampuan mereka menyusupi sasaran bernilai tinggi dalam skala besar.

Ben Read, direktur intelijen ancaman strategis di Wiz, menjelaskan bahwa Korea Utara beroperasi dengan cara berbeda dari aktor negara lain.

Korea Utara tidak khawatir soal reputasinya atau kemungkinan identitasnya kelak terungkap. Jadi, meskipun operasi semacam ini sangat mencolok dan mendapat sorotan luas, mereka bersedia menanggung risikonya.

Toleransi risiko ini memungkinkan Pyongyang melancarkan serangan rantai pasok terang-terangan yang mungkin dihindari negara lain karena potensi dampak diplomatik atau kekhawatiran soal atribusi. Kompromi terhadap Axios mengikuti pola yang terbentuk tiga tahun lalu, ketika operator Korea Utara diduga menyusupi 3CX, penyedia perangkat lunak yang digunakan perusahaan layanan kesehatan dan jaringan hotel untuk panggilan suara dan video.

John Hultquist, kepala analis di Google Threat Intelligence Group, menekankan fokus khusus kelompok tersebut pada aset digital.

Peretas Korea Utara memiliki pengalaman mendalam dalam serangan rantai pasok, yang secara historis mereka gunakan untuk mencuri mata uang kripto. Cakupan penuh insiden ini masih belum jelas, tetapi mengingat popularitas paket yang disusupi, kami memperkirakan dampaknya akan sangat luas.

UNC1069 sebelumnya menargetkan perusahaan teknologi keuangan dengan menggunakan rapat Zoom palsu, taktik rekayasa sosial, dan beragam keluarga malware unik, menunjukkan fokus yang berkelanjutan dan terus berkembang terhadap ekosistem mata uang kripto.

Rentetan Kerentanan Rantai Pasok

Insiden Axios terjadi di tengah lonjakan mengkhawatirkan serangan rantai pasok yang menyasar ekosistem perangkat lunak sumber terbuka. Selama sebulan terakhir, tim keamanan telah menangani serangkaian kompromi berantai, termasuk serangan terhadap Trivy, alat pemindaian keamanan populer, LiteLLM, pustaka Python yang banyak digunakan untuk integrasi model AI, dan Telnyx, platform komunikasi. Google telah memastikan serangan terhadap Axios tidak terkait dengan masalah rantai pasok TeamPCP baru-baru ini. Namun, setiap pembobolan yang berhasil memberi penyerang kredensial baru dan akses awal ke repositori lain, menciptakan siklus kompromi yang terus berulang.

Carmakal memperingatkan bahwa gelombang serangan baru-baru ini telah menghasilkan kumpulan besar rahasia yang dicuri. Rahasia yang dicuri selama dua pekan terakhir akan memungkinkan lebih banyak serangan rantai pasok perangkat lunak, kompromi lingkungan perangkat lunak sebagai layanan yang berujung pada kompromi pelanggan hilir, serangan ransomware dan pemerasan, serta pencurian kripto dalam beberapa hari, pekan, dan bulan mendatang, jelasnya. Kami mengetahui adanya ratusan ribu kredensial yang dicuri. Beragam pelaku dengan motif berbeda berada di balik serangan-serangan ini. Dampak serangan rantai pasok npm axios kemarin sangat luas dan menjangkau paket populer lain yang memiliki dependensi terhadapnya.

Tom Hegel, peneliti senior di SentinelOne, menekankan sifat ancaman yang tak terlihat.

Setiap kali Anda memuat situs web, memeriksa saldo bank, atau membuka aplikasi di ponsel, kemungkinan besar Axios sedang berjalan di suatu tempat di latar belakang agar semua itu berfungsi. Anda tidak perlu mengeklik apa pun atau melakukan kesalahan. Perangkat lunak yang sudah Anda percayai melakukannya untuk Anda.

Pernyataan ini menegaskan bagaimana serangan rantai pasok mengeksploitasi kepercayaan tersirat pengguna terhadap komponen perangkat lunak yang sudah mapan, sehingga dapat melewati pelatihan kesadaran keamanan tradisional dan perlindungan titik akhir.

Teknik Pengelabuan dan Penanggulangan Forensik

Para penyerang menerapkan langkah anti-forensik canggih yang menyulitkan respons insiden dan deteksi. Setelah dijalankan, malware tidak hanya menghapus berkas instalasinya sendiri, tetapi juga memanipulasi pelaporan versi untuk mengelabui pihak yang bertahan. Paket plain-crypto-js berbahaya melaporkan dirinya sebagai versi 4.2.0, bukan 4.2.1, sehingga membingungkan tim keamanan yang memeriksa integritas paket. Teknik pemalsuan versi ini bertujuan meyakinkan administrator bahwa sistem mereka menjalankan perangkat lunak resmi, padahal yang terpasang adalah versi yang telah disusupi.

Tomislav Pericin, arsitek perangkat lunak utama di ReversingLabs, menyebut serangan ini sebagai pola bagi operasi mendatang, bukan insiden terpisah.

Tingkat kecanggihan operasional yang didokumentasikan di sini, termasuk kredensial pengelola yang disusupi, muatan yang disiapkan sebelumnya untuk tiga sistem operasi, kedua cabang rilis yang diserang dalam waktu kurang dari 40 menit, serta penghancuran jejak forensik bawaan, mencerminkan aktor ancaman yang merencanakan ini sebagai operasi berskala besar. Jika kampanye ini kini muncul di PyPI dan NuGet, hal itu sesuai dengan indikasi yang sudah ditunjukkan oleh mekanisme serangannya: tujuannya adalah menjangkau sebanyak mungkin pengembang.

Organisasi kini harus mengaudit bukan hanya dependensi npm, melainkan setiap pengelola paket yang memasok alur build mereka. Hammond mengatakan waktu terjadinya serangan ini sangat mengkhawatirkan, mengingat tren pengembangan saat ini yang makin mengandalkan otomatisasi. Ia mencatat peretasan ini terjadi pada saat yang tepat, seiring pesatnya adopsi agen AI yang menghasilkan perangkat lunak di organisasi tanpa peninjauan atau pengamanan apa pun. Risikonya melampaui pengguna Axios secara langsung, hingga mencakup organisasi mana pun yang alat pengembangannya secara otomatis menyelesaikan dependensi. Pendiri Semgrep, Isaac Evans, menunjukkan bahwa pengembang yang mengunci versi, memelihara lockfile, dan mengikuti praktik kebersihan standar tetap dapat terdampak karena lingkungan pengembangan terintegrasi mereka mengambil dependensi itu secara diam-diam di latar belakang.

Mengamankan Rantai Pasok Perangkat Lunak

Tim keamanan di berbagai industri kini bergegas menilai paparan dan memulihkan sistem yang disusupi. Organisasi yang menggunakan Axios harus segera mengaudit pohon dependensi mereka untuk mencari versi 1.14.1 dan 0.30.4, menurunkan versi ke versi aman yang telah diverifikasi seperti 1.14.0 atau 0.30.3, serta mengganti semua kredensial yang dapat diakses selama jendela instalasi. Indikator teknis kompromi mencakup keberadaan plain-crypto-js di direktori node_modules, koneksi jaringan ke sfrclak.com (alamat IP 142.11.206.73), serta proses mencurigakan di direktori sementara seperti /Library/Caches/com.apple.act.mond pada sistem macOS.

Langkah mitigasi segera mencakup mengunci Axios ke versi aman yang diketahui dalam berkas package-lock.json untuk mencegah peningkatan versi yang tidak disengaja, memeriksa keberadaan dependensi berbahaya tersebut, menghentikan proses berbahaya yang teridentifikasi, memblokir domain perintah dan kendali yang diketahui di batas jaringan, mengisolasi sistem terdampak dari jaringan produksi, serta mengganti semua rahasia dan kredensial yang mungkin terpapar selama jendela kompromi. Organisasi juga perlu meninjau log akses untuk mencari penggunaan tidak sah atas kunci API atau akun layanan yang mungkin telah dicuri malware.

Ilkka Turunen, CTO lapangan di Sonatype, menekankan persoalan mendasar soal kepercayaan yang terungkap dalam insiden ini. Serangan ini menunjukkan bahwa peretas kini mengeksploitasi kepercayaan orang terhadap kode, bukan kode itu sendiri, jelasnya. Kemampuan berbahaya diperkenalkan melalui dependensi yang disiapkan secara bertahap dan dirancang untuk menghapus jejaknya sendiri, sehingga serangan lebih sulit dideteksi dan lebih lama dipahami. Ini bukan sekadar malware, melainkan menunjukkan taktik yang lebih terencana dan matang. Mike Puglia, pemimpin keamanan di Kaseya, mencatat bahwa insiden-insiden ini semakin membuktikan rapuhnya ekosistem perangkat lunak dunia, ketika kompromi terhadap satu akun saja dapat memaparkan puluhan ribu organisasi dalam hitungan jam.

Poin Utama

• Kelompok ancaman Korea Utara UNC1069 menyusupi pustaka JavaScript Axios, yang diunduh 100 juta kali setiap pekan dan digunakan di sekitar 80% lingkungan cloud
• Versi berbahaya 1.14.1 dan 0.30.4 tersedia selama sekitar tiga jam pada 31 Maret, diunduh oleh sekitar 3% basis pengguna atau berpotensi mencapai 600.000 unduhan
• Serangan ini menggunakan dependensi bayangan bernama plain-crypto-js untuk menyebarkan WAVESHAPER.V2, pintu belakang lintas platform yang mampu menginfeksi sistem Windows, macOS, dan Linux
• Google Mandiant memperkirakan kelompok tersebut akan menggunakan kredensial curian untuk operasi pencurian mata uang kripto jangka panjang guna mendanai program nuklir dan rudal Korea Utara
• Malware ini memiliki kemampuan anti-forensik tingkat lanjut, termasuk penghapusan mandiri dan pemalsuan versi agar melaporkan dirinya sebagai 4.2.0, bukan 4.2.1, untuk menghindari deteksi
• Organisasi harus segera mengaudit pohon dependensi, mengganti semua kredensial, memblokir domain C2 sfrclak.com dan IP 142.11.206.73, serta menurunkan versi Axios ke versi aman
• Kompromi terjadi melalui token akses berumur panjang yang melewati kontrol autentikasi OIDC, menyoroti perlunya membersihkan kredensial lama