Serangan supply chain attack terhadap ekosistem Ruby kembali mengancam keamanan para pengembang. Tiga paket RubyGems berbahaya ditemukan di repository publik, dirancang untuk menginfeksi mesin pengembang dan menanamkan backdoor persisten. Dalam kampanye yang diberi nama SleeperGem ini, para peneliti keamanan dari StepSecurity mengungkapkan bahwa serangan ini memanfaatkan akun pengembang yang sudah lama dorman untuk menyebarkan muatan berbahaya.
APA YANG TERJADI?
Tiga paket RubyGems yang diberi label berbahaya ditemukan di registry publik RubyGems. Ketiganya adalah git_credential_manager (versi 2.8.0 hingga 2.8.3, diterbitkan 18 Juli 2026), Dendreo (versi 1.1.3 dan 1.1.4, dorman sejak 2017), dan fastlane-plugin-run_tests_firebase_testlab (versi 0.3.2, dorman sejak 2018). Yang paling mencolok adalah git_credential_manager yang secara terang-terangan menyamar sebagai produk resmi Microsoft Git Credential Manager.
Yang menjadikan serangan ini berbeda dari serangan supply chain lainnya adalah teknik “sleeper” yang digunakan. Dua dari tiga paket telah diam selama bertahun-tahun sebelum menerima pembaruan berbahaya. Sebuah akun RubyGems yang sudah tidak aktif selama enam atau tujuh tahun tidak akan dianggap berisiko oleh siapa pun. Itulah profil akun yang tepat untuk diambil alih.
DETAIL TEKNIS
Mekanisme serangan SleeperGem bekerja dalam beberapa tahap. Pertama, setiap rilis berbahaya berfungsi sebagai loader yang mengunduh second stage dari host Forgejo milik penyerang di git.disroot[.]org/git-ecosystem. Sebelum menginstal muatan berbahaya, malware ini memindai sekitar 30 environment variable yang berkaitan dengan platform CI/CD seperti GitHub Actions, GitLab, CircleCI, Travis, Jenkins, dan Vercel. Jika ditemukan, malware langsung berhenti untuk menghindari runner CI yang bersifat sementara.
Pada mesin pengembang, payload berupa skrip shell deploy.sh dan binary native diunduh. Versi 2.8.2 hanya menempatkan payload, sementara versi 2.8.3 melangkah lebih jauh dengan menjalankan binary sebagai background daemon, mengatur persistence melalui cron entry dan systemd user service, serta memanfaatkan sudo untuk eskalasi hak akses. Jika pengguna dapat menjalankan sudo tanpa password, script akan berulang sebagai root dan menanamkan copy shell dengan setuid root di /usr/local/sbin/ping6.
Yang menambah parah situasi, git_credential_manager ditambahkan sebagai dependency ke lima paket termasuk Dendreo dan fastlane-plugin-run_tests_firebase_testlab. Semua paket kecuali fastlane-plugin dikelola oleh akun yang sama (LR-DEV), menandakan bahwa beberapa akun pengembang kemungkinan telah dikompromikan.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki komunitas pengembang Ruby on Rails yang cukup aktif, terutama di sektor startup dan fintech. Serangan supply chain seperti SleeperGem menjadi ancaman serius karena banyak pengembang Indonesia yang mengandalkan paket open source tanpa verifikasi ketat terhadap dependency tree mereka. Dengan UU Pelindungan Data Pribadi (UU PDP) yang mulai diberlakukan, setiap kebocoran kredensial pengembang dapat berdampak pada data pelanggan yang mereka tangani.
BSSN dan Kementerian Kominfo telah berulang kali memperingatkan tentang meningkatnya ancaman supply chain attack terhadap infrastruktur digital Indonesia. Insiden ini menunjukkan bahwa ekosistem open source lokal memerlukan mekanisme verifikasi dependency yang lebih ketat. Banyak perusahaan teknologi Indonesia yang menggunakan RubyGems sebagai bagian dari pipeline development mereka, dan tanpa dependency pinning atau signature verification, mereka sangat rentan terhadap jenis serangan ini.
REKOMENDASI MITIGASI
Bagi pengembang yang telah menginstal salah satu dari paket berbahaya ini, langkah pertama yang harus dilakukan adalah memperlakukan mesin dan semua kredensial yang tersimpan sebagai kompromi. Hapus daemon yang ditanam di ~/.local/share/gcm/, eliminasi semua metode persistence (cron dan systemd), serta periksa keberadaan file setuid di /usr/local/sbin/ping6. Lakukan rotasi menyeluruh pada semua kredensial yang pernah digunakan di mesin tersebut.
Secara preventif, gunakan RubyGems package pinning dengan mengunci versi dependency di Gemfile.lock. Implementasikan audit dependency secara berkala menggunakan tool seperti bundler-audit atau Snyk. Aktifkan fitur keamanan seperti signature verification untuk paket RubyGems dan pertimbangkan penggunaan private registry dengan allowlist untuk proyek kritis.
Analisa Retasan
SleeperGem menandakan evolusi baru dalam teknik supply chain attack yang semakin canggih. Dengan memanfaatkan akun dormant yang sah, penyerang secara efektif melewati banyak sistem deteksi yang hanya memantau aktivitas baru di registry package. Ini menunjukkan bahwa keamanan supply chain tidak hanya tentang apa yang baru dipublikasikan, tetapi juga tentang apa yang sudah ada dan tiba-tiba aktif kembali.
Fakta bahwa malware ini secara aktif menghindari environment CI/CD menunjukkan tingkat kecanggihan yang tinggi. Penyerang tidak ingin muatannya dianalisis oleh sandbox otomatis yang digunakan oleh platform seperti GitHub Actions atau GitLab CI. Target spesifik mereka adalah mesin lokal pengembang yang memiliki akses langsung ke credential store dan environment yang kaya dengan secret. Ini adalah pendekatan yang sangat terukur dan berbahaya.
Insiden ini juga mengungkap kelemahan fundamental dalam ekosistem package manager modern. RubyGems, npm, PyPI, dan registry lainnya perlu mengembangkan mekanisme yang lebih baik untuk mendeteksi perubahan perilaku pada paket yang sudah mapan. Perubahan mendadak pada paket yang dorman selama bertahun-tahun harus memicu alert otomatis. Tanpa perubahan paradigma ini, serangan sleeper akan terus menjadi ancaman nyata bagi seluruh ekosistem open source global.
Sumber: The Hacker News – SleeperGem Uses Three Malicious RubyGems Packages
