JAVASCORNER.CO.ID, JAKARTA - Para peneliti keamanan siber dari Trend Micro telah menemukan 14 paket npm berbahaya yang menyamar sebagai utilitas kalender dan streak. Paket-paket ini dirancang untuk menyebarkan implan Linux berbasis kecerdasan buatan (AI) bernama RedC2 4.0, sebuah kerangka kerja command-and-control (C2) yang dijual bebas di forum kejahatan siber.
- Rincian Paket npm Berbahaya
- Cara Kerja Backdoor RedC2
- Fitur-Fitur RedC2 4.0
- Implikasi dan Serangan Terkait
Rincian Paket npm Berbahaya
Menurut laporan yang dirilis Kamis (21/8/2026), paket-paket tersebut tersebar di npm dengan nama yang tampak meyakinkan, seperti streak-metrics-math, kit-map-vim, dan map-streak-kit. Semua paket ini menawarkan fungsionalitas yang berfungsi, tetapi di baliknya tersembunyi kode berbahaya yang mengaktifkan backdoor.
Berikut daftar lengkap paket yang teridentifikasi:
| No | Nama Paket | Versi |
|---|---|---|
| 1 | streak-metrics-math | 1.0.0, 1.0.1 |
| 2 | kit-map-vim | 1.0.0 |
| 3 | streak-map-cache | 1.0.0 |
| 4 | streak-map-kit | 1.0.0 |
| 5 | map-streak-kit | 1.0.0 |
| 6 | streak-cache-map | 1.0.0 |
| 7 | streak-calc-metrics | 1.0.0 |
| 8 | streak-calc-math | 1.0.0 |
| 9 | streak-math-abz | 1.0.0 |
| 10 | streak-metricsaz | 1.0.0 |
| 11 | streak-math-metrics | 1.0.0 |
| 12 | streak-metricazbd | 1.0.0 |
| 13 | streak-metricsazb | 1.0.0 |
| 14 | streak-kit-map | 1.0.0 |
Dari 14 paket tersebut, sebagian besar hanya memiliki satu versi, kecuali streak-metrics-math yang memiliki dua versi. Total ada 15 versi paket yang terpengaruh.
Cara Kerja Backdoor RedC2
Setiap paket menyertakan file biner yang disamarkan sebagai akselerator matematika, seperti math-core.bin, calc-math.dat, atau calc.bin. File ini sebenarnya adalah beacon RedShell Linux untuk RedC2 4.0.
Peneliti Trend Micro, Aliakbar Zahravi, menjelaskan bahwa file entri paket, dist/index.mjs, bertindak sebagai pemuat trojan. Begitu modul dimuat, biner langsung dieksekusi sebagai proses latar belakang. Tidak diperlukan fungsi instalasi khusus; satu impor saja sudah cukup untuk mengaktifkan muatan.
Beacon RedShell Linux kemudian menghubungi server C2 jarak jauh (Windows atau Linux) dan mendaftarkan sistem yang terinfeksi dengan mengirimkan "pesan check-in". Setelah itu, beacon memasuki loop pemrosesan perintah, mengeksekusi instruksi dari operator melalui /bin/sh, dan mengirimkan hasilnya kembali.
Fitur-Fitur RedC2 4.0
RedC2 4.0 dipasarkan di Hack Forums pada awal Juni 2026 oleh aktor ancaman bernama "MarlboroMan". Kerangka kerja ini dijual seharga $99,99 dan diklaim dirancang untuk penghindaran deteksi.
Kemampuan Lintas Platform
Versi Windows dan macOS memiliki fungsi serupa, seperti operasi file, pengintaian host dan jaringan, enumerasi pengguna, dan pengumpulan data. Khusus Windows, ada bypass UAC, deteksi antivirus, dan pergerakan lateral.
Red Agent: Asisten AI
Salah satu fitur unggulan adalah Red Agent, lapisan eksekusi perintah berbasis LLM. Operator dapat memberikan perintah dalam bahasa alami, dan kerangka kerja akan menerjemahkannya menjadi rangkaian perintah yang dapat dieksekusi. Ini memungkinkan operator dengan berbagai tingkat keterampilan untuk melakukan intrusi kompleks.
Fitur Lainnya
- Akses terminal dan transfer file
- Pengiriman muatan bertahap
- Operasi multi-beacon
- Visualisasi jaringan
- Tunneling host-to-host
- Eksekusi dalam memori dari BOF, assembly .NET, dan shellcode
Implikasi dan Serangan Terkait
Temuan ini menyoroti tren penggunaan AI dalam kerangka kerja C2 untuk menurunkan hambatan masuk bagi penyerang. Trend Micro menekankan bahwa abstraksi ini memungkinkan operator dengan keterampilan terbatas untuk mengeksekusi intrusi multi-tahap secara efisien.
Peristiwa ini terjadi tak lama setelah serangan rantai pasokan yang menargetkan tiga crate Rust populer (arrayref, internment, dan append-only-vec). Malware pada crate tersebut juga dirancang untuk membuat profil perangkat, mencuri data browser, dan membangun persistensi.
Menariknya, serangan tersebut diduga terkait dengan aktor Korea Utara, dan ada tumpang tindih infrastruktur dengan serangan sebelumnya pada paket Mastra dan Axios. Ini menunjukkan pola serangan rantai pasokan yang semakin canggih dan meluas.
Para pengembang dan pengguna npm diharapkan selalu memverifikasi paket yang digunakan dan mewaspadai paket yang baru dirilis dengan nama mirip utilitas populer. Keamanan rantai pasokan perangkat lunak menjadi semakin krusial di tengah ancaman yang terus berkembang.
