Checkmarx mengungkap kampanye supply chain attack yang menargetkan ekosistem Vite.js melalui tujuh paket npm berbahaya. Kampanye yang dijuluki “ViteVenom” ini menggunakan teknik blockchain command-and-control (C2) empat tier yang canggih untuk menginstruksikan Remote Access Trojan (RAT) pada mesin korban. Aktor ancaman di balik serangan ini, yang diidentifikasi sebagai “SuccessKey,” aktif sejak 27 Februari 2026 dan terus mengembangkan teknik evasi deteksi.
APA YANG TERJADI?
Checkmarx, melalui peneliti Pavan Gudimalla, menemukan tujuh paket npm yang menyamar sebagai bagian dari namespace resmi `@vitejs/*`. Tujuh paket tersebut adalah: `@uw010010/vite-tree`, `@vite-tab/tab`, `@vite-ln/build-ts`, `@vite-mcp/vite-type`, `@vite-pro/vite-ui`, `@vitets/vite-ts`, dan `@vite-ts/vite-ui`. Nama-nama ini dirancang untuk meniru package resmi ekosistem Vite.js sehingga developer yang tidak waspada akan menginstalnya tanpa curiga.
Yang membedakan kampanye ViteVenom dari serangan supply chain npm konvensional adalah waktu eksekusi kode berbahaya. Kode berbahaya dieksekusi saat package di-import, bukan saat diinstall. Teknik ini mem-bypass sebagian besar scanner keamanan npm yang hanya mengeksekusi skrip install/post-install. Artinya, pipeline CI/CD yang menggunakan pendekatan “scan before install” tidak akan mendeteksi ancaman ini.
DETAIL TEKNIS
Arsitektur C2 ViteVenom menggunakan empat tier yang dirancang untuk ketahanan dan redundansi. Tier pertama menggunakan jaringan Tron blockchain untuk menyimpan C2 address dan instruksi awal. Jika komunikasi dengan Tron gagal, sistem fallback ke Binance Smart Chain (BSC) sebagai tier kedua. Tier ketiga menggunakan Aptos blockchain sebagai alternatif ketika BSC juga tidak tersedia. Jika semua blockchain C2 gagal, sistem beralih ke komunikasi HTTP konvensional sebagai tier keempat. Pendekatan berlapis ini membuat infrastruktur C2 ViteVenom hampir mustahil untuk ditakedown secara permanen karena tidak ada satu titik kegagalan.
Kode berbahaya menggunakan teknik obfuscation berlapis termasuk eval-based string decoding, dynamic import resolution, dan callback chain execution. RAT yang didistribusikan mampu mengkompromikan credential sistem, mengakses filesystem, dan melakukan lateral movement. Kampanye ini memiliki kesamaan teknis dengan kampanye ChainVeil dan teknik EtherHiding yang sebelumnya didokumentasikan oleh komunitas keamanan.
Klasifikasi sebagai kampanye Supply Chain Attack terjadi karena paket-paket ini menargetkan developer secara langsung melalui dependency tree mereka. Ketika seorang developer mengimpor salah satu paket ini ke dalam proyek, seluruh tim yang menggunakan proyek tersebut juga terpapar. Dalam konteks ekosistem JavaScript modern, satu dependency berbahaya dapat menyebar ke ribuan proyek melalui transitive dependency.
DAMPAK TERHADAP INDONESIA
Ekosistem Vite.js semakin populer di kalangan developer Indonesia, terutama dalam startup teknologi dan perusahaan digital yang membangun web application modern. Serangan supply chain seperti ViteVenom memiliki dampak multiplier yang signifikan — satu paket berbahaya dapat mengkompromikan seluruh CI/CD pipeline, source code repository, dan deployment server. Untuk perusahaan Indonesia yang mengembangkan produk SaaS, infiltrasi ke dalam development environment dapat mengarah pada pencurian source code proprietri, credential production, dan data pelanggan.
Ketersediaan paket berbahaya di registry npm publik juga berisiko bagi organisasi yang menggunakan dependency scanning tools berbasis CVE saja, karena paket-paket ini tidak memiliki CVE. Komunitas developer Indonesia perlu meningkatkan kewaspadaan terhadap dependency confusion dan typosquatting, terutama pada proyek open source yang dikelola oleh komunitas lokal.
REKOMENDASI MITIGASI
Gunakan `npm audit` dan tools seperti Socket.dev atau Snyk untuk memindai dependency secara real-time. Implementasikan allowlist untuk namespace npm yang diizinkan dalam proyek. Periksa secara manual paket-paket yang menggunakan namespace `@vitejs/*` karena namespace resmi Vite.js hanya memiliki beberapa package tertentu. Gunakan lockfiles (`package-lock.json`) secara konsisten dan hindari instalasi paket tanpa versi yang dikunci. Implementasikan isolated build environments untuk CI/CD pipeline dan monitoring terhadap anomali network dari development workstation. Audit secara berkala seluruh dependency tree termasuk transitive dependencies.
Analisa Retasan
ViteVenom mewakili evolusi signifikan dalam teknik supply chain attack terhadap ekosistem JavaScript. Keputusan untuk mengeksekusi kode berbahaya saat import-time alih-alih install-time adalah inovasi defensif yang sangat efektif. Sebagian besar security scanner dalam CI/CD pipeline berfokus pada analisis package.json dan lockfile sebelum instalasi, namun jarang yang melakukan analisis statis terhadap module entry points untuk mendeteksi kode berbahaya yang hanya aktif saat runtime import.
Gap ini mencakup sebagian besar tools keamanan supply chain yang ada di pasaran saat ini.
Penggunaan arsitektur C2 blockchain empat tier menunjukkan maturing-nya threat actor dalam menghadapi takedown infrastruktur. Pola ini pertama kali terlihat dalam kampanye EtherHiding yang dieksploitasi oleh threat actor grup ClearFake, dan kini diadopsi oleh actor seperti SuccessKey. Dengan menggunakan Tron, BSC, dan Aptos sebagai fallback chain, attacker menempatkan command channels pada jaringan yang terdesentralisasi dan praktis tidak bisa ditakedown oleh penegak hukum atau tim keamanan.Ini menunjukkan bahwa pendekatan “sink the server” yang tradisional tidak lagi efektif melawan C2 berbasis blockchain.
Dalam konteks Indonesia, kampanye ini menjadi pengingat penting bahwa supply chain security bukan hanya tanggung jawab platform tetapi juga setiap developer. Tim developer Indonesia harus membangun security-first mindset, mulai dari memverifikasi integritas package hingga mengimplementasikan SBOM dan Sigstore untuk menandatangani build artifacts. Organisasi seperti Kementerian Kominfo dan BSSN dapat berkontribusi dengan menyediakan advisory berkala tentang malicious packages yang ditemukan di npm dan PyPI yang relevan dengan ekosistem developer Indonesia.
Sumber: The Hacker News — Seven Malicious Vite npm Packages Use Blockchain C2
Tags: ViteVenom, ChainVeil, npm supply chain attack, blockchain C2, Tron, BSC, Aptos, RAT, Vite.js security, SuccessKey
