Microsoft telah memperingatkan bahwa penyerang menyembunyikan malware pencuri kripto di dalam paket npm publik, menciptakan risiko baru bagi pengembang, investor kripto, dan pengguna dompet.
Microsoft Threat Intelligence mengatakan dua paket npm yang disusupi, [email protected] dan [email protected], sedang “menyalahgunakan repositori Hugging Face sebagai infrastruktur eksfiltrasi.” Perusahaan mengatakan paket-paket tersebut menyebarkan trojan akses jarak jauh, atau RAT, yang dapat mengumpulkan penekanan tombol, tangkapan layar, dan kredensial dompet kripto.
Npm adalah registri perangkat lunak publik yang digunakan oleh pengembang JavaScript untuk membangun aplikasi dan alat web. Ketika seorang pengembang menginstal paket yang terkontaminasi, malware dapat berjalan secara diam-diam di perangkat dan memantau file sensitif, kata sandi, atau data dompet.
Kampanye ini menonjol karena penyerang menggunakan Hugging Face, platform tepercaya untuk proyek-proyek kecerdasan buatan dan pembelajaran mesin, untuk memindahkan data yang dicuri. Rute tersebut dapat membuat lalu lintas terlihat kurang mencurigakan dibandingkan tautan langsung ke server kriminal yang tidak dikenal.
Bagi pengguna kripto, ini menciptakan kekhawatiran keamanan langsung. Mesin pengembang dapat menyimpan dompet browser, kunci privat, file frasa benih (seed phrase), kunci API bursa, token GitHub, dan login cloud. Jika penyerang mengumpulkan detail tersebut, mereka dapat menargetkan dompet, repositori kode, dan sistem perdagangan.
Liputan crypto.news terkait menunjukkan bahwa serangan rantai pasok perangkat lunak tetap menjadi masalah nyata bagi sektor kripto. Laporan 25 Mei mengatakan kampanye malware TrapDoor menyebar melalui lebih dari 34 paket berbahaya di seluruh ekosistem npm, PyPI, dan Rust.
Kampanye tersebut menargetkan pengembang kripto dan AI dengan mencuri data dompet, kunci API, kredensial cloud, dan akses SSH melalui alat pengembang palsu. Ini juga menunjukkan bagaimana penyerang sekarang menargetkan orang dan sistem yang digunakan untuk membangun aplikasi kripto, tidak hanya pengguna akhir.
Crypto.news juga melaporkan pada bulan Maret bahwa Slow Fog telah memperingatkan pengembang tentang rilis Axios yang berbahaya. Versi yang terkontaminasi menarik malware plain-crypto-js dan mengekspos pengembang kripto terhadap RAT lintas platform serta kredensial yang dicuri melalui npm.
Peringatan Microsoft ini mengikuti laporan malware lain dari tim keamanannya. Pada 26 Mei, Microsoft mengatakan penyerang menggunakan hasil pencarian yang terkontaminasi dan beberapa interaksi chatbot AI untuk menyebarkan unduhan utilitas PC palsu yang menginstal malware penambangan GPU.
Kampanye tersebut menargetkan pengguna dengan kartu grafis yang kuat, termasuk gamer dan penggemar perangkat keras. Microsoft mengatakan malware tersebut menyalahgunakan ScreenConnect, utilitas Microsoft .NET, dan unduhan palsu untuk alat seperti CrystalDiskInfo dan HWMonitor untuk menjalankan penambang kripto.
Peringatan npm terbaru menjaga perhatian pada langkah-langkah keamanan dasar. Pengembang harus mengaudit instalasi paket terbaru, menghapus dependensi yang mencurigakan, merotasi kredensial yang terpapar, dan memeriksa aktivitas dompet. Pengguna kripto harus menghindari menyimpan frasa benih (seed phrases) di perangkat yang terhubung dan memverifikasi setiap transaksi dompet sebelum menandatangani.
