Saat Malware Shai‑Hulud Dirilis ke Publik, Serangan Supply‑Chain npm Langsung Meledak

Ekosistem open‑source seperti npm berjalan di atas kepercayaan. Pengembang sering memasang ribuan paket yang dibuat dan dipelihara oleh orang yang tidak mereka kenal. Kampanye malware Shai‑Hulud menunjukkan betapa rapuhnya kepercayaan tersebut.

Pada Mei 2026, grup peretas TeamPCP merilis kode sumber worm Shai‑Hulud ke publik dan bahkan mendorong orang lain untuk menggunakannya. Tak lama setelah itu, paket npm berbahaya baru mulai bermunculan—beberapa di antaranya merupakan kloning langsung dari malware asli. Peristiwa ini menunjukkan betapa cepatnya satu kampanye bisa berubah menjadi ancaman yang lebih luas di ekosistem open‑source.

Ketika Malware Berubah Menjadi Toolkit Publik

Sebelum kode sumbernya dirilis, Shai‑Hulud sudah digunakan dalam beberapa serangan supply‑chain terhadap ekosistem npm dan proyek open‑source lain.

Situasinya berubah drastis ketika kode worm tersebut dipublikasikan secara online pada Mei 2026. Laporan keamanan menyebutkan bahwa repositori GitHub yang muncul saat itu bahkan berisi dokumentasi tentang cara menjalankan framework serangan tersebut. Bagi peneliti keamanan, publikasi ini pada dasarnya menjadi “cetak biru” untuk serangan supply‑chain berikutnya.

Dengan kode yang tersedia bebas, pelaku baru tidak perlu lagi menulis malware sendiri atau melakukan reverse engineering. Mereka cukup mengambil framework yang sudah ada dan menyesuaikannya dengan target baru.

Hanya beberapa hari setelah rilis kode tersebut, peneliti mulai menemukan paket npm mencurigakan yang meniru atau menggunakan perilaku Shai‑Hulud.

Kontes Hacker di BreachForums

Keadaan semakin memanas ketika TeamPCP bersama operator forum hacking BreachForums mempromosikan sebuah kontes dengan hadiah sekitar $1.000 dalam Monero bagi peserta yang berhasil melakukan kompromi paket open‑source terbesar menggunakan Shai‑Hulud.

Penilaian dilaporkan didasarkan pada skala kompromi—misalnya jumlah unduhan paket yang berhasil disusupi. Model ini mendorong peserta untuk menargetkan:

• library populer
• paket dengan dependency tree besar
• proyek yang digunakan luas di pipeline pengembangan

Akibatnya, para peneliti keamanan menggambarkan kontes ini sebagai bentuk “gamifikasi” serangan supply‑chain, di mana banyak pelaku menjalankan kampanye serangan secara paralel dengan toolkit yang sama.

Paket npm Peniru Bermunculan

Tak lama setelah kode dirilis, peneliti menemukan paket npm berbahaya baru yang diunggah oleh aktor peniru. Salah satu investigasi melaporkan empat paket mencurigakan:

• chalk-tempalte
• @deadcode09284814/axios-util
• axois-utils
• color-style-utils

Setidaknya satu paket berisi kloning Shai‑Hulud tanpa obfuscation, sementara paket lain memuat malware pencuri kredensial atau komponen botnet.

Kecepatan kemunculan paket‑paket ini memperlihatkan betapa cepat malware open‑source dapat menyebar begitu framework dasarnya tersedia publik.

Typosquatting: Menjebak Developer dengan Salah Ketik

Sebagian besar paket peniru menggunakan teknik typosquatting, metode klasik dalam serangan supply‑chain.

Penyerang menerbitkan paket dengan nama yang hampir identik dengan dependensi populer, berharap developer:

• salah mengetik nama paket
• tidak menyadari perbedaan kecil
• menginstal paket lewat dependency otomatis

Contoh dari kampanye ini:

• chalk-tempalte meniru pola nama paket chalk-template
• axois-utils terlihat mirip dengan paket yang terkait dengan axios

Karena instalasi npm sering berjalan otomatis dalam pipeline build atau melalui dependency lain, satu paket berbahaya saja sudah cukup untuk mengeksekusi kode berbahaya saat proses instalasi.

Kemampuan Malware Shai‑Hulud

Shai‑Hulud bukan sekadar paket berbahaya biasa. Malware ini memiliki perilaku worm supply‑chain yang bisa menyebar sendiri.

Analisis peneliti keamanan menemukan kemampuan seperti:

• mencuri kredensial dari lingkungan developer dan runner CI/CD
• mengumpulkan token cloud dari layanan seperti AWS, GCP, dan Azure
• mengekstrak data sensitif ke repositori GitHub yang dikendalikan penyerang
• menambahkan backdoor ke paket lain jika menemukan token maintainer

Dalam beberapa insiden sebelumnya, malware ini bahkan dapat secara otomatis menerbitkan versi berbahaya dari paket npm lain yang bisa diakses oleh token yang dicuri. Ini memungkinkan penyebaran luas tanpa server command‑and‑control terpusat.

Mengapa Ini Menjadi Eskalasi Besar

Serangan Shai‑Hulud sebenarnya sudah signifikan sejak awal karena menargetkan infrastruktur pengembangan perangkat lunak, bukan hanya pengguna akhir.

Namun dua perkembangan membuat risikonya jauh lebih besar.

1. Framework serangan menjadi open source

Dengan kode tersedia publik, Shai‑Hulud berubah dari satu kampanye menjadi alat serangan yang bisa digunakan siapa saja.

2. Serangan dijadikan kompetisi

Kontes BreachForums memberikan insentif langsung bagi pelaku untuk mencoba berbagai kompromi paket.

Kombinasi keduanya mengubah model ancaman: dari satu kelompok terorganisasi menjadi banyak aktor independen yang menggunakan malware yang sama secara bersamaan.

Pelajaran Besar bagi Ekosistem Open‑Source

Kasus Shai‑Hulud menegaskan tren yang semakin jelas: penyerang kini menargetkan rantai pengembangan perangkat lunak itu sendiri.

Targetnya mencakup:

• registry paket seperti npm
• pipeline CI/CD
• workflow rilis
• kredensial maintainer

Begitu paket berbahaya masuk ke ekosistem tersebut, kode dapat dijalankan saat instalasi, mencuri rahasia dari sistem build, dan berpotensi menyebar ke setiap proyek yang bergantung padanya.

Munculnya malware npm peniru hanya beberapa hari setelah rilis kode Shai‑Hulud menunjukkan satu hal penting: ketika alat serangan menjadi publik, skala ancaman bisa meningkat sangat cepat.

Bagi komunitas pengembang, ini berarti keamanan perangkat lunak tidak lagi hanya tentang melindungi aplikasi—tetapi juga seluruh pipeline yang digunakan untuk membangunnya.