ChainDrop dan NullReceiver: Saat Peretas Korea Utara Menggunakan Blockchain Ethereum untuk Melumpuhkan npm

Keuntungan utama teknik ini: peretas bisa mengganti infrastruktur server C2 kapan saja tanpa perlu memperbarui malware. Mereka cukup mengirimkan transaksi Ethereum kosong baru yang berisi alamat server pengganti .

Penggunaan Ethereum yang Semakin Matang

Sebelum NullReceiver, paket npm yang terkait dengan DPRK sudah pernah terlihat menggunakan kontrak pintar Ethereum sebagai lapisan C2 tersembunyi untuk mengirimkan malware . Perkembangan ini menunjukkan strategi yang disengaja: blockchain—dengan sifatnya yang tidak dapat diubah (immutable), tersedia secara global, dan tampak sah—menjadi saluran C2 yang ideal karena hampir mustahil di-takedown oleh tim keamanan.

Worm ChainDrop: Menyebar Secara Otomatis dalam Skala Besar

Pada 4 Agustus 2026, Microsoft Threat Intelligence mengungkap ChainDrop, sebuah worm npm yang mereplikasi diri dan menjadi serangan rantai pasok paling agresif dari kelompok DPRK sejauh ini .

• Skala: Dalam waktu sekitar dua jam, ChainDrop menginfeksi 435 paket dan 1.557 versi, bermula dari kompromi pada paket keyv@6.0.0 .
• Mekanisme: Worm menggunakan skrip preinstall untuk mengeksekusi muatan yang dikaburkan (seperti setup.mjs, math_init.js) yang mengunduh modul pencuri kredensial bernama Mini Shai-Hulud .
• Penyebaran otomatis: Begitu dijalankan di lingkungan CI/CD korban, worm mencuri kredensial publikasi npm dan secara otomatis memublikasikan ulang pembaruan berbahaya ke paket lain yang dimiliki oleh pengembang atau organisasi yang sama—menciptakan rantai infeksi berjenjang .
• Dampak luas: Paket yang terkena dampak mencakup utilitas populer seperti keyv, flat-cache, dan cache-manager, yang digunakan oleh banyak perusahaan besar .

Catatan penting: Meskipun waktu dan teknik (menargetkan npm, mencuri kredensial, motif kripto) sangat konsisten dengan aktivitas DPRK, ChainDrop belum secara resmi diatribusikan ke subkelompok DPRK tertentu seperti halnya NullReceiver. Analisis Microsoft lebih berfokus pada anatomi teknis worm; atribusi masih terus berkembang.

Pelajaran dari Kampanye Ini: Evolusi Serangan Rantai Pasok DPRK

1. Dari Paket Statis ke Worm yang Mereplikasi Diri

Kampanye DPRK yang lebih lama—seperti pembajakan debug, chalk, dan axios pada September 2025—mengandalkan phishing pengelola paket dan menyuntikkan kode pencuri dompet ke dalam paket statis . ChainDrop adalah lompatan besar: ia menggabungkan pencurian kredensial dengan publikasi ulang otomatis, mengubah satu kompromi menjadi rantai infeksi yang tumbuh secara eksponensial tanpa perlu rekayasa sosial tambahan .

2. Blockchain sebagai Lapisan Siluman dan Ketahanan

NullReceiver dan pendahulunya menunjukkan peretas DPRK beralih dari C2 yang dikodekan secara statis ke C2 yang terselesaikan melalui blockchain. Jaringan Ethereum menjadi papan buletin global yang tahan sensor, dapat diverifikasi publik, dan dikendalikan oleh peretas secara finansial (melalui dompet mereka) bukan secara infrastruktur (melalui domain atau IP). Ini membuat upaya penonaktifan hampir mustahil tanpa menyita dompet itu sendiri .

3. Rekayasa Sosial + Bantuan AI

Amazon Threat Intelligence menghubungkan kompromi debug, chalk, axios, dan typo-crypto dengan kelompok DPRK yang dilacak sebagai Sapphire Sleet (juga dikenal sebagai BlueNoroff, Stardust Chollima, dan CageyChameleon). Kelompok ini menggunakan pembuatan malware berbantuan AI dan rekayasa sosial yang ditargetkan kepada pengelola paket sumber terbuka . Kampanye PromptMink (Famous Chollima/Shifty Corsair) juga menunjukkan paket npm berbahaya buatan AI yang bertahan selama tujuh bulan dengan lebih dari 300 versi .

4. Penyebaran Lintas Ekosistem

Kampanye Shai-Hulud (September 2025 dan seterusnya) berevolusi dari worm npm menjadi ancaman lintas ekosistem yang menargetkan PyPI dan registri lainnya. Ini menunjukkan bahwa peretas DPRK berinvestasi dalam persistensi multi-platform .

5. Motif Finansial sebagai Penggerak Utama

Semua kampanye ini memiliki tujuan yang sama: pencurian aset kripto. Baik mencuri kredensial untuk menguras dompet pengembang, membajak pipeline CI/CD untuk menyuntikkan kode pencuri kripto, atau menggunakan blockchain untuk mempertahankan akses persisten—tujuan akhirnya tetap sama: menyedot aset digital untuk mendanai rezim DPRK .

Intisari Kampanye

Peretas DPRK telah beralih dari sekadar menumpang pada paket yang salah eja (typosquatting) menjadi kemampuan perang rantai pasok yang matang dan multi-vektor—menggunakan blockchain Ethereum untuk C2 yang tidak terdeteksi, worm yang mereplikasi diri untuk penyebaran virus, dan AI untuk produksi malware dalam skala industri. Kampanye NullReceiver dan ChainDrop, yang diungkap dalam rentang waktu beberapa hari di awal Agustus 2026, menunjukkan bahwa tempo operasional dan ambisi teknis mereka semakin meningkat.