Checkmarx mengungkapkan kampanye supply chain attack baru bernama ViteVenom yang menargetkan ekosistem Vite — build tool JavaScript populer — melalui 7 paket npm berbahaya. Kampanye ini merupakan ekspansi dari ChainVeil yang menggunakan arsitektur C2 berbasis blockchain empat tier mencakup Tron, Aptos, dan Binance Smart Chain untuk mengirimkan remote access trojan (RAT).
APA YANG TERJADI?
ViteVenom menggunakan scoped package names untuk menyamar sebagai “@vitejs/*” namespace — teknik yang lebih canggih dibandingkan ChainVeil yang menggunakan unscoped typosquats. Tujuannya memberikan kesan legitimasi kepada developer yang familiar dengan ekosistem Vite.
Tujuh paket berbahaya yang teridentifikasi diterbitkan antara 29 Juni hingga 3 Juli 2026: @uw010010/vite-tree (1070 downloads), @vite-tab/tab (289), @vite-ln/build-ts (252), @vite-mcp/vite-type (239), @vite-pro/vite-ui (200), @vitets/vite-ts (194), dan @vite-ts/vite-ui (176).
DETAIL TEKNIS
Kode berbahaya tidak dieksekusi saat install time — melainkan saat import time, membatasi deteksi endpoint security. Loader bekerja dengan menghubungi infrastruktur blockchain untuk mendapatkan stage berikutnya: query Tron blockchain untuk transaksi terbaru dari wallet attacker, decode dan reverse transaction data field untuk mendapatkan BSC transaction hash, query BSC transaction untuk mengekstrak encrypted payload, dan decrypt payload menggunakan hardcoded key.
Jika metode retrieval payload via Tron gagal, malware menggunakan Aptos sebagai backup. Payload query blockchain untuk mendapatkan konfigurasi C2 dan next-stage loader yang meluncurkan RAT. Fallback mechanism juga ada yang mengambil RAT langsung dari C2 server via HTTP, sepenuhnya mem-bypass blockchain.
RAT yang dihasilkan mampu melakukan reverse shell, credential harvesting, file exfiltration, dan persistent backdoor injection. Infrastruktur C2 disimpan sebagai transaction data di public blockchain, membuatnya nyaris mustahil untuk ditakedown — tidak seperti domain names yang bisa disita.
Update terakhir: kampanye ini overlap dengan threat activity cluster bernama PolinRider yang dinilai terkait dengan hacker Korea Utara. Socket mengidentifikasi 108 paket unik dan browser extensions yang melibatkan npm, Packagist, Go, dan Google Chrome — menunjukkan skalabilitas serangan yang jauh lebih besar dari yang diperkirakan semula.
DAMPAK TERHADAP INDONESIA
Vite adalah salah satu frontend build tool paling populer yang digunakan oleh ribuan developer Indonesia. Banyak startup dan perusahaan teknologi di Indonesia mengandalkan Vite untuk membangun aplikasi web mereka. Supply chain attack seperti ini sangat berbahaya karena menyerang trust model developer — mereka yang terbiasa menginstall dependencies tanpa verifikasi mendalam.
Dengan adanya ketertautan ke PolinRider dan Korea Utara, ini mengingatkan bahwa supply chain attacks bukan hanya ancaman komersial, tetapi juga geopolitis. Organisasi Indonesia yang mengembangkan software untuk pemerintah atau sektor strategis harus mempertimbangkan penggunaan tools seperti Socket, npm audit, dan dependency pinning sebagai standar keamanan wajib.
REKOMENDASI MITIGASI
1. Periksa dependency tree proyek Anda untuk paket-paket berbahaya yang teridentifikasi. 2. Gunakan npm shrinkwrap atau lockfiles untuk mengunci versi dependencies. 3. Implementasikan Socket.dev atau tools serupa untuk mendeteksi anomali paket npm. 4. Audit .bashrc, .zshrc, dan .profile untuk modifikasi tidak sah. 5. Rotasi semua credentials yang mungkin telah terpapar.
Analisa Retasan
ViteVenom menunjukkan evolusi signifikan dalam supply chain attacks: dari sekadar typosquatting menjadi arsitektur C2 multi-blockchain yang nyaris tidak bisa ditakedown. Ketika payload pointers disimpan sebagai transaction data di Tron dan Binance Smart Chain, tidak ada otoritas sentral yang bisa membekukan atau menghapusnya — ini fundamentally mengubah dinamika antara attacker dan defensive team dalam hal infrastructure resilience.
Keterlibatan PolinRider dan kemungkinan koneksi ke Korea Utara memperluas implikasi kampanye ini dari sekedar malware financial menjadi operasi cyberespionage lintas batas. Hacker Korea Utara telah lama dikenal menargetkan developer dan crypto ecosystem — dengan ViteVenom, mereka membangun infrastruktur supply chain attack yang bisa digunakan untuk tujuan spionase maupun finansial secara simultan.
Penggunaan scoped package names yang menyamar sebagai “@vitejs/*” namespace menunjukkan tingkat pengetahuan attacker tentang ekosistem Vite yang mendalam. Ini bukan serangan massal yang indiscriminate — ini targeted attack yang dirancang untuk menangkap developer yang sedang berusaha membangun aplikasi. Bagi developer Indonesia, ini menjadi pengingat bahwa trust pada package registry tidak boleh menjadi trust yang tidak teruji.
Sumber: The Hacker News — Seven Malicious Vite npm Packages Use Blockchain C2
