Tim riset keamanan dari Socket.dev baru saja mengungkap sebuah kampanye serangan supply chain berskala besar yang menggunakan tiga varian cacing — Mini Shai-Hulud, Miasma, dan Hades — untuk menarget pengembang dalam sektor bioinformatika dan pengembang MCP (Model Context Protocol) yang bekerja dengan integrasi AI. Kampanye ini, yang pertama kali dilaporkan pada tanggal 8 Juni 2026, menyebar melalui dua ekosistem package manager terbesar: npm dan PyPI, dengan total 411 artefak terinfeksi di npm yang mencakup 106 paket unik, dan 60 artefak di PyPI yang mencakup 37 paket unik. Skala kampanye ini menjadikannya salah satu serangan supply chain paling luas yang pernah tercatat di ekosistem Python dan JavaScript.
Yang membuat kampanye ini sangat berbahaya dan berbeda dari serangan supply chain konvensional adalah penggunaan tiga mekanisme delivery yang berbeda secara simultan, masing-masing dirancang untuk menghindari metode deteksi yang berbeda pula. Mekanisme pertama, yang disebut “.pth startup hook”, beroperasi dengan mengirimkan paket wheel berbahaya yang menyuntikkan file *-setup.pth ke dalam sistem korban. File .pth secara spesifik dieksekuti oleh Python saat inisialisasi interpreter, yang berarti payload dijalankan bahkan sebelum script pengguna mulai dieksekusi. File .pth ini kemudian memuat _index.js yang mengunduh runtime Bun dan menjalankan payload JavaScript — sebuah pendekatan cross-platform yang sangat efektif karena menembus batas antara ekosistem Python dan Node.js.
Mekanisme kedua menggunakan native extension import trigger, yang merupakan salah satu pendekatan paling cerdik yang pernah diamati dalam serangan supply chain. Dalam paket-paket bioinformatika seperti embiggen, ensmallen, gpsea, dan pyphetools, kode berbahaya disuntikkan ke dalam file extension biner .abi3.so (Python stable ABI extension). Karena file .so ini dikompilasi dan bukan source code, serangan ini sepenuhnya invisible terhadap code review manual. Seorang pengembang yang memeriksa source code di GitHub atau di PyPI tidak akan melihat apapun yang mencurigakan — kode berbahaya hanya muncul dalam binary wheel yang didistribusikan melalui package index. Ini adalah eksploitasi sempurna dari kelemahan fundamental dalam rantai kepercayaan software supply chain.
Mekanisme ketiga, yang ditujukan khusus untuk pengembang MCP, menggunakan pendekatan loader-payload split pada paket langchain-core-mcp. Paket ini merupakan salah satu paket paling populer untuk integrasi model bahasa dengan Model Context Protocol. Dalam serangan ini, file .pth hook berfungsi sebagai loader yang melakukan scanning pada sys.path Python untuk menemukan payload terpisah yang dimuat dari lokasi lain. Pemisahan loader dan payload ini mempersulit analisis keamanan karena scanner berbasis file tunggal tidak akan menemukan komponen berbahaya — kedua komponen harus dianalisis secara bersamaan untuk memahami kampanye ini secara utuh.
Payload inti dari seluruh kampanye ini adalah Hades, sebuah stealer berbasis JavaScript yang dirancang untuk mengekstrak sejumlah besar credential dan secret dari mesin korban. Daftar target Hades mencakup: token GitHub, credential npm/PyPI/RubyGems, cloud credentials (AWS, GCP, Azure), Service Account Kubernetes, kunci SSH, konfigurasi Docker, file .env yang mengandung secret lingkungan, dan konfigurasi untuk berbagai tool AI seperti OpenAI API keys dan Anthropic tokens. Dengan satu kompromi, Hades mampu mengekstrak credential yang cukup untuk melakukan serangan lateral ke seluruh ekosistem pengembangan dan deployment organisasi korban.
Sistem Command and Control (C2) dari kampanye ini menggunakan teknik dead-drop yang cerdas melalui GitHub. Alih-alih menghubungi server C2 langsung, yang bisa dengan mudah dideteksi dan diblokir, Hades menempatkan instruksi command di repositories GitHub yang sudah dikompromi atau dibuat khusus. Payload mengambil instruksi dari GitHub melalui API yang sah, sehingga traffic C2-nya bercampur dengan traffic GitHub API yang normal dan sah dari mesin pengembang. Untuk penemuan C2, Hades mencari string spesifik thebeautifulmarchoftime yang berfungsi sebagai beacon — sebuah pendekatan yang mengingatkan pada teknik DGA (Domain Generation Algorithm) namun beradaptasi untuk era cloud.
Sistem propagation dari cacing-cacing ini juga patut mendapat perhatian khusus karena menunjukkan pemahaman mendalam tentang workflow DevOps modern. Mini Shai-Hulud memiliki kemampuan untuk menyebar melalui Docker socket abuse — ia memanfaatkan /var/run/docker.sock untuk membuat container baru yang menyuntikkan dirinya ke dalam image Docker, sehingga menyebar ke setiap environment baru yang menggunakan image tersebut. Mekanisme kedua menggunakan SSH propagation melalui script /tmp/.sshu-setup.js yang memindai file known_hosts dan mencoba propogasi ke server lain yang bisa diakses dari kunci SSH yang tersedia di mesin korban. Kombinasi propagation melalui Docker dan SSH menciptakan cacing yang bisa menyebar secara horizontal dan vertikal melalui infrastruktur DevOps.
Yang menambah lapisan kecanggihan serangan ini adalah penggunaan teknik anti-analisis berbasis LLM. File _index.js mengandung prompt injection header yang dirancang untuk memicu safety refusals pada AI model yang digunakan untuk automated code review. Jika sebuah organisasi menggunakan AI-powered security scanner untuk memeriksa paket baru, prompt injection ini akan menyebabkan AI menolak untuk menganalisis file tersebut, secara efektif mematikan satu lapisan pertahanan. Ini adalah contoh pertama yang terdokumentasi dari penggunaan LLM prompt injection sebagai teknik anti-analisis dalam malware supply chain — sebuah evolusi yang sangat mengkhawatirkan dalam arms race antara penyerang dan pertahanan.
Sektor bioinformatika dipilih sebagai target utama kampanye ini bukan tanpa alasan. Pengembang bioinformatika menggunakan Python secara ekstensif untuk analisis data genomik, pemodelan struktur protein, dan pipeline biocomputing. Package-package di sektor ini sering memiliki jumlah dependensi yang sangat banyak dan kurang dipelihara secara aktif dibandingkan package populer di ekosistem mainstream. Selain itu, paket-paket bioinformatika sering mengandung native extension (.so, .pyd) untuk performa komputasi numerik, yang memberikan jalan sempurna untuk menyembunyikan kode berbahaya dari code review. Kombinasi dari kurangnya pemeliharaan aktif dan kehadiran native extension menjadikan ekosistem ini target yang ideal untuk serangan supply chain.
Target kedua — pengembang MCP — juga merupakan target strategis yang menunjukkan pemahaman attacker tentang tren terkini dalam pengembangan AI. MCP (Model Context Protocol) adalah standar yang memungkinkan model bahasa besar untuk berinteraksi dengan tool dan data external. Paket-paket seperti langchain-core-mcp, openai-mcp, dan tiktoken-mcp sedang mengalami pertumbuhan pesat di kalangan pengembang yang membangun AI-powered applications. Dengan menginfeksi paket-paket ini, attacker memastikan bahwa setiap pengembang yang mengintegrasikan MCP ke dalam aplikasi mereka secara otomatis terinfeksi — dan pengembang semacam ini biasanya memiliki akses ke API keys cloud, model weights, dan data pelanggan yang sangat berharga.
IOC (Indicators of Compromise) utama dari kampanye ini meliputi hash SHA256 6d332f814f15f19758d65026bbfd0a8c49671b319ec77b8fa1b27fc48afff7d9 untuk payload utama, serta string beacon thebeautifulmarchoftime yang digunakan untuk discovery C2. Daftar lengkap paket yang terinfeksi tersedia di laporan Socket.dev dan harus segera dicek oleh setiap organisasi yang menggunakan paket Python atau Node.js dalam workflow pengembangan mereka. Penting untuk dicatat bahwa beberapa paket yang terinfeksi mungkin sudah dihapus dari package index, namun dependency cache atau mirror internal organisasi mungkin masih menyimpan versi yang terinfeksi.
Rekomendasi mitigasi yang harus segera diimplementasikan oleh organisasi di Indonesia meliputi: pertama, audit seluruh dependency tree untuk mencari paket-paket yang terinfeksi, terutama di lingkungan pengembangan bioinformatika dan AI. Kedua, implementasikan socket.dev atau tool supply chain security serupa untuk memonitor perubahan perilaku pada paket-paket yang digunakan. Ketiga, jangan pernah mengizinkan eksekusi file .pth dari paket pihak ketiga tanpa review — pertimbangkan untuk menggunakan virtual environments dengan flag yang membatasi auto-execution. Keempat, segarkan credential secara rutin dan implementasikan least-privilege principle untuk semua service account dan API keys yang tersimpan di development machines.
Analisa Retasan
Kampanye Mini Shai-Hulud, Miasma, dan Hades menandaiera baru dalam serangan supply chain di mana multi-stage delivery, cross-platform propagation, dan anti-analisis berbasis AI digabungkan dalam satu kampanye terintegrasi. Tiga mekanisme delivery yang berbeda menunjukkan bahwa attacker tidak hanya ingin menginfeksi sebanyak mungkin target, tetapi juga ingin memastikan bahwa setiap metode deteksi yang mungkin digunakan oleh target memiliki celah yang bisa dieksploitasi. Ini bukan lagi serangan “spray and pray” — ini adalah kampanye yang direncanakan dengan sangat cermat oleh aktor dengan kemampuan teknis tinggi.
Penggunaan prompt injection LLM sebagai teknik anti-analisis adalah pengembangan yang benar-benar mengkhawatirkan dan merupakan preseden berbahaya untuk masa depan. Jika teknik ini menjadi umum, setiap malware bisa membawa header atau string yang dirancang untuk membingungkan atau mematikan AI security tools. Ini menciptakan race condition baru di mana AI security scanner harus mampu membedakan antara prompt injection yang malicious dan kode yang legitimate, sementara attacker terus-menerus mengembangkan teknik baru untuk mengelabui scanner mereka.
Dari sudut pandang pertahanan Indonesia, kampanye ini menyoroti kerentanan fundamental dalam cara organisasi mengelola supply chain software mereka. Banyak perusahaan dan institusi riset di Indonesia menggunakan paket Python dan Node.js tanpa monitoring terhadap perubahan upstream, tanpa pinning versi dependency, dan tanpa scanning terhadap binary wheel. Praktik-praktik ini, yang sudah berbahaya sebelumnya, menjadi sangat berisiko di era di mana attacker secara aktif menarget ekosistem package manager dengan cacing yang bisa menyebar secara otomatis. Organisasi harus mulai memperlakukan supply chain security sebagai komponen kritis dari postur keamanan mereka, bukan lagi sebagai “nice to have” yang bisa ditunda.
Sumber: Socket.dev – Mini Shai-Hulud, Miasma, and Hades Worms | Penulis: Kirill Boychenko, Socket Threat Research