Kampanye Sapphire Sleet: Malware npm Kini Menyembunyikan Server C2 di Transaksi Ethereum Kosong

Urutan komprominya adalah sebagai berikut :

• typo-crypto — Maret 2025: Amazon menilai insiden ini kemungkinan menjadi uji coba untuk menyempurnakan taktik sebelum serangan yang lebih besar .
• debug dan chalk — September 2025: Kedua pustaka ini termasuk yang paling banyak diunduh dalam ekosistem npm. Pustaka debug saja memiliki miliaran unduhan per minggu. Penyerang memancing pengelola paket melalui domain npm tiruan, lalu menerbitkan skrip penguras dompet ke setidaknya 18 versi paket berbahaya . Kompromi tersebut diperkirakan menjangkau sekitar 10% lingkungan cloud dalam waktu dua jam setelah paket diterbitkan .
• axios — Maret 2026: Ini merupakan salah satu pustaka klien HTTP paling populer di ekosistem JavaScript, dengan lebih dari 70 juta unduhan per minggu pada saat itu . Dua rilis berbahaya, yaitu v1.14.1 dan v0.30.4, memasukkan dependensi jahat yang menyebarkan trojan akses jarak jauh .

Alih-alih meretas infrastruktur npm secara langsung, penyerang memanfaatkan rekayasa sosial untuk mendekati pengelola paket dan mencuri kredensial mereka. Mereka juga menggunakan kode yang dibuat dengan bantuan AI dan dirancang agar lebih sulit terdeteksi .

Pembaruan yang telah ditrojanisasi kemudian memasang skrip penguras dompet dan pencuri kredensial saat proses instalasi berlangsung. Dengan demikian, komputer pengembang menjadi pintu masuk menuju rahasia proyek, token autentikasi, kunci API, dan aset kripto .

NullReceiver: alamat server malware disisipkan dalam transfer kosong

Teknik lain yang ditemukan peneliti disebut NullReceiver. OpenSource Malware melaporkannya pada 2 Agustus 2026, dan analisis lanjutan diterbitkan pada 4 Agustus. Teknik ini ditemukan pada dua paket npm lain yang terhubung dengan Korea Utara, yakni bianira-ui@1.27.0 dan fluid-type-ui@2.0.8 .

Kedua paket tersebut menyamar sebagai plugin Tailwind CSS yang sah dan dikaitkan dengan kampanye Contagious Interview .

Cara kerja NullReceiver secara ringkas adalah sebagai berikut :

1. Malware membawa alamat dompet Ethereum yang ditanam secara permanen di dalam kode: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Saat berjalan, malware menanyakan blockchain Ethereum untuk melihat transaksi keluar terbaru dari dompet tersebut.
3. Malware membaca alamat tujuan dari transaksi Ethereum terbaru yang memiliki nilai nol dan tidak memuat data.
4. Byte pada alamat tujuan itu kemudian didekode menjadi alamat IP server C2 tahap berikutnya.

C2, atau command and control, adalah infrastruktur yang digunakan penyerang untuk mengirim perintah dan mengatur malware dari jarak jauh.

Yang membuat teknik ini lebih sulit dideteksi adalah tampilannya. Tidak ada domain mencurigakan, alamat IP statis, atau muatan data tersembunyi yang perlu dicari di dalam transaksi. Dari luar, aktivitas tersebut dapat terlihat seperti transfer kripto biasa—meski transfernya tidak mengirim ETH dan tidak membawa data.

NullReceiver dinilai sebagai evolusi dari teknik EtherHiding. Pada metode sebelumnya, informasi berbahaya dapat disimpan di dalam data transaksi atau kontrak pintar. NullReceiver memindahkan “rahasia” itu ke alamat penerima transaksi, sehingga jejak statis di dalam kode malware menjadi lebih sedikit .

Bagaimana respons perusahaan keamanan?

Sejumlah perusahaan keamanan besar menemukan pola yang mengarah pada kelompok yang sama, meski tingkat keyakinan dan nama pelacakannya dapat berbeda:

• Amazon Threat Intelligence menilai dengan tingkat keyakinan sedang bahwa Sapphire Sleet berada di balik kompromi typo-crypto, debug, chalk, dan axios. Penilaiannya didasarkan pada indikator C2 yang sama, penggunaan ulang kode, post-install hook, serta taktik dan teknik yang serupa .
• Microsoft Threat Intelligence secara terpisah menilai dengan tingkat keyakinan tinggi bahwa Sapphire Sleet berada di balik serangan rantai pasok Mastra AI pada Juni 2026. Serangan dalam rentang 45 menit itu berdampak pada lebih dari 140 paket npm . Microsoft juga mendokumentasikan kampanye yang menargetkan macOS dengan umpan bertema Microsoft Teams .
• Google Threat Intelligence mengaitkan serangan terhadap axios dengan aktor yang sama, yang mereka lacak sebagai UNC1069 .
• Pemerintah Amerika Serikat dan lembaga keamanan siber negara-negara sekutu semakin sering memperingatkan tentang pencurian mata uang kripto yang didukung Korea Utara melalui kompromi rantai pasok perangkat lunak sumber terbuka . Menurut TRM Labs, Korea Utara menyumbang sekitar 76% dari nilai seluruh peretasan kripto pada 2026. Namun, angka itu tidak seluruhnya berasal dari serangan terhadap paket npm ini .

Berdasarkan sumber yang tersedia, tidak ditemukan pernyataan publik yang secara khusus menyangkal tuduhan Sapphire Sleet atau teknik NullReceiver dari pemerintah Korea Utara. Korea Utara biasanya menolak tuduhan serangan siber yang disponsori negara melalui saluran diplomatik, tetapi penyangkalan langsung terhadap kampanye-kampanye spesifik ini tidak muncul dalam kumpulan bukti yang ditinjau.

Implikasi bagi pengembang dan tim keamanan

Serangan-serangan ini memperlihatkan mengapa kepercayaan terhadap nama paket atau pengelola saja tidak cukup. Paket yang tampak sah dapat membawa kode berbahaya melalui pembaruan, sementara malware dapat mengambil alamat C2 dari sumber yang sulit diblokir dengan aturan domain biasa.

Beberapa langkah yang direkomendasikan oleh berbagai sumber antara lain :

• Pertahankan software bill of materials (SBOM): Buat inventaris seluruh dependensi dan pantau perubahan yang tidak terduga.
• Terapkan masa karantina: Bila memungkinkan, jangan langsung memasang versi paket yang baru diterbitkan. Jeda 24–72 jam dapat mengurangi risiko serangan cepat yang memakai paket beracun sebelum sempat terdeteksi dan ditarik.
• Nonaktifkan skrip siklus hidup bila tidak diperlukan: Batasi eksekusi otomatis selama instalasi dan gunakan versi dependensi yang dikunci secara deterministik.
• Jangan hanya mengganti paket: Jika dependensi diduga telah disusupi, anggap kredensial dan lingkungan pengembangan ikut berisiko. Putar ulang rahasia dan token, isolasi sistem yang terdampak, lalu pantau aktivitas lanjutan.
• Periksa perilaku saat instalasi dan saat berjalan: Perhatikan koneksi jaringan yang tidak biasa dari workstation pengembang maupun sistem build.

NullReceiver memang menyulitkan pemblokiran berbasis indikator statis. Namun, pemantauan dependensi, pembatasan pembaruan otomatis, penguncian versi, dan respons insiden yang cepat tetap dapat mempersempit ruang gerak serangan rantai pasok semacam ini.