Waspada! Malware Disembunyikan di Gambar SVG Saat Tes Coding

Pengembang perangkat lunak kembali menjadi sasaran utama kelompok peretas yang diduga berafiliasi dengan Korea Utara. Kali ini, pelaku menggunakan cara yang semakin canggih dengan menyembunyikan malware di dalam file gambar SVG melalui teknik steganografi, lalu menyebarkannya melalui lowongan pekerjaan palsu dan tes coding yang tampak sah.

Temuan tersebut diungkap oleh Elastic Security Labs dalam laporan terbaru yang dibagikan kepada The Hacker News. Peneliti menemukan bahwa korban yang menjalankan proyek dari repositori yang dibagikan oleh pelaku akan secara otomatis mengaktifkan malware bertingkat yang memiliki karakteristik serupa dengan OtterCookie, sebuah malware lintas platform yang dikenal memiliki kemampuan mencuri data sensitif.

Menurut Elastic, serangan ini merupakan bagian dari kampanye Contagious Interview, operasi rekayasa sosial yang telah aktif sejak setidaknya Desember 2022. Kampanye tersebut secara konsisten menargetkan pengembang perangkat lunak dengan memanfaatkan proses rekrutmen kerja sebagai umpan agar korban menjalankan kode berbahaya di perangkat mereka.

Dalam kampanye terbaru ini, aktivitas penyerang dilacak dengan nama REF9403. Tujuan akhirnya tetap sama, yakni memperoleh akses ke data penting, mencuri kredensial pengguna, hingga menguras aset mata uang kripto yang tersimpan di dompet digital korban.

Malware Aktif Saat Proyek Dijalankan

Elastic mengungkapkan bahwa siapa pun yang menjalankan proyek yang telah dimodifikasi tersebut tanpa sadar akan mengaktifkan rangkaian malware yang terdiri dari empat komponen utama.

Komponen pertama berfungsi mencuri kredensial browser serta informasi dompet mata uang kripto. Selanjutnya, malware akan mencari dan mencuri berbagai file penting yang tersimpan di komputer korban.

Tahap berikutnya memasang Remote Access Trojan (RAT) berbasis Socket.IO, sehingga penyerang dapat mengendalikan perangkat korban dari jarak jauh. Malware juga memiliki kemampuan mencuri isi clipboard, sehingga data yang disalin pengguna, termasuk kata sandi, alamat dompet kripto, atau informasi sensitif lainnya, dapat ikut dicuri.

Kemampuan berlapis tersebut menunjukkan bahwa serangan tidak lagi sekadar bertujuan mencuri satu jenis data, tetapi dirancang untuk memperoleh akses seluas mungkin terhadap sistem korban.

Slack Dimanfaatkan untuk Menjebak Pengembang

Elastic menemukan kampanye ini setelah sejumlah anggota komunitas Slack miliknya menjadi target tawaran pekerjaan palsu.

Para penyerang memanfaatkan kanal diskusi yang biasa digunakan para pengembang untuk mencari peluang kerja. Pendekatan ini dinilai cukup efektif karena dilakukan di lingkungan yang memang sering digunakan komunitas teknologi untuk berdiskusi maupun berbagi informasi mengenai karier.

Meski penggunaan Slack sebagai media penyebaran malware terbilang baru dalam kampanye Contagious Interview, kelompok peretas Korea Utara sebenarnya sudah beberapa kali memanfaatkan platform komunikasi dan media sosial sebagai sarana rekayasa sosial.

Sebelumnya, pelaku diketahui membuat workspace Slack palsu dan mengundang pengelola paket Axios npm ke dalam rapat virtual fiktif. Insiden tersebut berakhir dengan kompromi terhadap pustaka JavaScript dan kemudian dikaitkan dengan kelompok ancaman UNC1069.

Daniel Stepanic, Threat Research Engineer di Elastic, mengatakan bahwa timnya juga pernah menyaksikan kelompok tersebut memanfaatkan server Discord publik yang digunakan komunitas blockchain untuk menyebarkan malware.

Menurutnya, pola serangan tersebut merupakan bagian dari strategi rekayasa sosial yang sudah terstruktur. Para pelaku terlebih dahulu membangun kepercayaan dengan menyamar sebagai perekrut atau perusahaan, kemudian menghubungi calon korban melalui berbagai platform seperti GitHub, Slack, Discord, LinkedIn, hingga Telegram.

Setelah hubungan dianggap cukup meyakinkan, korban akan diarahkan untuk menjalankan proyek atau aplikasi yang telah disusupi malware.

Berawal dari Tawaran Pekerjaan Menarik

Dalam salah satu kasus yang dianalisis Elastic, seorang pengguna bernama Maxwell mengunggah informasi lowongan kerja pada kanal #jobs di Slack pada akhir Mei 2026.

Lowongan tersebut menawarkan proyek modernisasi platform e-commerce menggunakan teknologi populer seperti Next.js v14, NestJS, PostgreSQL, Auth.js, serta integrasi sistem pembayaran Stripe.

Deskripsi pekerjaan yang profesional membuat tawaran tersebut tampak sangat meyakinkan bagi para pengembang yang sedang mencari pekerjaan atau proyek baru.

Setelah korban menyatakan ketertarikan, komunikasi dipindahkan ke pesan pribadi. Di tahap inilah pelaku meminta korban menyelesaikan tes coding sebagai bagian dari proses seleksi.

Tes tersebut sebenarnya menggunakan repositori Git yang berfungsi normal sehingga tidak memunculkan tanda-tanda mencurigakan. Namun, di balik kode aplikasi yang terlihat sah, terdapat malware yang telah disisipkan secara tersembunyi.

Malware Disembunyikan di Dalam Gambar Bendera

Salah satu aspek paling menarik dari kampanye ini adalah teknik penyembunyian malware yang digunakan pelaku. Alih-alih menempatkan kode berbahaya langsung pada file JavaScript utama, penyerang memanfaatkan teknik steganografi dengan menyisipkan potongan payload ke dalam file gambar SVG.

File-file tersebut berada di dalam direktori assets dan tampak seperti kumpulan gambar bendera berbagai negara dengan nama seperti AE.svg dan AF.svg.

Sekilas seluruh file terlihat seperti aset grafis biasa yang digunakan aplikasi web. Namun di dalam setiap file terdapat komentar HTML tersembunyi yang menyimpan data dalam format Base64. Seluruh potongan data tersebut kemudian dikumpulkan kembali oleh file JavaScript bernama serverValidation.js, yang bertugas menyusun payload hingga menjadi malware utuh.

Rantai infeksi dirancang sedemikian rupa sehingga malware akan dijalankan secara otomatis setiap kali server atau aplikasi dijalankan, tanpa menampilkan aktivitas mencurigakan kepada pengguna.

Teknik ini membuat malware lebih sulit dideteksi karena kode berbahaya tersembunyi di dalam file gambar yang umumnya dianggap aman oleh banyak pengembang maupun alat pemindai keamanan.

OtterCookie Terus Berkembang

Elastic menyebut payload utama dalam kampanye ini memiliki banyak kesamaan dengan OtterCookie, malware yang pertama kali teridentifikasi pada September 2024. Microsoft sebelumnya menjelaskan bahwa OtterCookie awalnya hanya digunakan untuk menjalankan perintah jarak jauh dan mencari kunci dompet kripto.

Namun malware tersebut terus berkembang menjadi platform modular yang memiliki kemampuan jauh lebih luas.

Selain dapat mencuri data browser dan dompet kripto, malware ini mampu mendeteksi lingkungan mesin virtual, memasang komponen komunikasi berbasis Socket.IO untuk command-and-control (C2), menjalankan perintah shell, mengunduh modul tambahan, hingga mengirimkan berbagai data hasil pencurian kepada operator.

Dalam kampanye terbaru, malware juga memiliki kemampuan mengumpulkan file berdasarkan ekstensi tertentu, mencuri isi clipboard, serta mengunduh dan menjalankan file executable Windows.

Kini Menargetkan Data dari Alat AI

Peneliti juga menemukan perubahan menarik pada kemampuan OtterCookie. Malware kini secara aktif mencari data yang berkaitan dengan berbagai alat bantu pemrograman berbasis kecerdasan buatan (AI), seperti direktori .claude, .cursor, .gemini, .windsurf, .pearai, dan .llama.

Temuan tersebut mengindikasikan bahwa pelaku kini tidak hanya mengejar kredensial akun dan aset kripto, tetapi juga informasi yang berkaitan dengan proses pengembangan perangkat lunak berbasis AI.

Kemungkinan besar data tersebut dapat dimanfaatkan untuk memperoleh akses terhadap proyek pengembangan, token autentikasi, konfigurasi aplikasi, hingga informasi sensitif lain yang tersimpan dalam lingkungan kerja para pengembang.

Elastic juga menemukan adanya kemiripan antara malware ini dengan malware lain yang sebelumnya disebarkan melalui paket npm palsu yang menyamar sebagai alat Rollup polyfill. Hal tersebut menunjukkan bahwa kelompok ancaman kemungkinan menjalankan beberapa jalur distribusi malware secara bersamaan untuk memperbesar peluang keberhasilan serangan.

Ancaman Besar bagi Rantai Pasok Perangkat Lunak

Elastic menilai kampanye terbaru ini menjadi pengingat bahwa pengembang perangkat lunak masih menjadi target bernilai tinggi bagi kelompok ancaman siber.

Kompromi terhadap satu orang pengembang dapat membuka jalan bagi penyerang untuk memasuki jaringan organisasi, mencuri kode sumber, menyisipkan backdoor ke dalam proyek, bahkan melancarkan serangan supply chain terhadap perusahaan lain yang menggunakan perangkat lunak tersebut.

Karena itu, organisasi disarankan meningkatkan kewaspadaan terhadap proses rekrutmen daring, terutama jika kandidat diminta menjalankan proyek atau repositori dari pihak yang belum dapat diverifikasi. Pengembang juga sebaiknya selalu memeriksa isi repositori, melakukan analisis terhadap dependensi dan skrip yang dijalankan, serta menggunakan solusi keamanan yang mampu mendeteksi aktivitas mencurigakan.

Keberhasilan kampanye Contagious Interview menunjukkan bahwa rekayasa sosial masih menjadi senjata yang sangat efektif bagi pelaku ancaman. Dengan menggabungkan penyamaran yang meyakinkan, teknik penyembunyian malware yang canggih, serta pemanfaatan platform populer di kalangan pengembang, kelompok peretas mampu memperluas jangkauan serangan dan meningkatkan risiko terhadap keamanan ekosistem perangkat lunak global.