Waspada! Tujuh Paket npm Vite Dipakai Sebarkan Malware RAT

Peneliti keamanan siber kembali mengungkap ancaman baru yang menyasar ekosistem pengembangan perangkat lunak. Kali ini, sebanyak tujuh paket npm berbahaya ditemukan menyusup ke ekosistem Vite, salah satu frontend tooling yang banyak digunakan pengembang JavaScript modern untuk membangun aplikasi web.

Serangan ini bukan sekadar menyebarkan malware biasa. Para pelaku memanfaatkan teknik software supply chain attack, yakni menyerang rantai pasok perangkat lunak dengan menyisipkan kode berbahaya ke dalam paket yang tampak sah. Yang membuat kampanye ini semakin berbahaya adalah penggunaan teknologi blockchain sebagai infrastruktur command-and-control (C2), sehingga jauh lebih sulit dilacak maupun dihentikan.

Perusahaan keamanan siber Checkmarx menamai kampanye tersebut ViteVenom. Berdasarkan hasil analisis, kampanye ini merupakan evolusi dari operasi malware sebelumnya yang dikenal sebagai ChainVeil, tetapi dengan teknik yang lebih canggih dan sasaran yang lebih spesifik.

Menargetkan Pengembang Vite

Berbeda dengan ChainVeil yang menyamar sebagai berbagai library populer seperti Tailwind CSS, Sass, ORM, hingga library rate limiting, ViteVenom secara khusus mengincar pengembang yang menggunakan Vite sebagai alat untuk membangun aplikasi web berbasis JavaScript.

Untuk mengelabui calon korban, pelaku membuat paket-paket npm yang memiliki nama sangat mirip dengan paket resmi. Mereka menggunakan scoped package names, sehingga sekilas terlihat seperti berasal dari namespace resmi @vitejs/.

Strategi ini membuat banyak pengembang berpotensi tertipu, terutama ketika mencari dependensi secara cepat melalui npm.

Checkmarx menemukan tujuh paket berbahaya yang dipublikasikan antara 29 Juni hingga 3 Juli 2026, yaitu:

1. @uw010010/vite-tree (1.070 unduhan)
2. @vite-tab/tab (289 unduhan)
3. @vite-ln/build-ts (252 unduhan)
4. @vite-mcp/vite-type (239 unduhan)
5. @vite-pro/vite-ui (200 unduhan)
6. @vitets/vite-ts (194 unduhan)
7. @vite-ts/vite-ui (176 unduhan)

Meski jumlah unduhannya belum terlalu besar dibanding paket populer lainnya, keberadaan paket tersebut menunjukkan bahwa para penyerang berhasil menyusup ke ekosistem npm dan berpotensi menginfeksi komputer para pengembang yang tidak menyadari adanya paket palsu tersebut.

Blockchain Dijadikan Server Pengendali Malware

Salah satu aspek paling menarik sekaligus mengkhawatirkan dari kampanye ViteVenom adalah pemanfaatan blockchain sebagai infrastruktur command-and-control (C2).

Pada umumnya, malware berkomunikasi dengan server C2 yang dioperasikan pelaku untuk menerima perintah atau mengunduh muatan (payload). Server semacam ini relatif dapat diblokir atau disita oleh penyedia layanan maupun aparat penegak hukum.

Namun, ViteVenom menggunakan pendekatan berbeda. Malware memanfaatkan beberapa jaringan blockchain publik, yakni Tron, Aptos, dan Binance Smart Chain (BSC), untuk menyimpan informasi yang dibutuhkan malware dalam menjalankan aksinya.

Menurut peneliti Checkmarx, Pavan Gudimalla, penggunaan blockchain membuat upaya mematikan infrastruktur C2 menjadi jauh lebih sulit karena data disimpan di jaringan blockchain yang bersifat terdesentralisasi dan tidak bergantung pada satu server tertentu.

Dengan kata lain, selama transaksi blockchain masih tersedia, malware tetap dapat memperoleh informasi yang dibutuhkan untuk melanjutkan proses infeksinya.

Mampu Menyebarkan Remote Access Trojan

Melalui infrastruktur blockchain tersebut, ViteVenom mengirimkan Remote Access Trojan (RAT) ke perangkat korban. Jenis malware ini memungkinkan penyerang memperoleh akses jarak jauh ke komputer korban. Setelah aktif, RAT memiliki berbagai kemampuan berbahaya, di antaranya:

• membuka reverse shell sehingga penyerang dapat menjalankan perintah dari jarak jauh,
• mencuri kredensial atau data login pengguna,
• mengambil file penting dari komputer korban,
• serta memasang backdoor agar akses ke sistem tetap terbuka meskipun malware utama telah dihapus.

Kemampuan tersebut membuat RAT menjadi salah satu jenis malware yang paling berbahaya bagi pengembang maupun organisasi karena dapat membuka jalan menuju kompromi sistem yang lebih luas.

Malware Baru Aktif Saat Paket Digunakan

Checkmarx menemukan teknik lain yang membuat ViteVenom sulit dideteksi. Apabila sebagian besar malware npm langsung dijalankan ketika proses instalasi berlangsung, ViteVenom justru menunggu hingga paket tersebut diimpor (import) ke dalam proyek.

Strategi ini membantu malware menghindari deteksi oleh berbagai solusi keamanan endpoint yang umumnya memantau aktivitas saat proses instalasi. Begitu paket digunakan, malware bertindak sebagai loader yang secara bertahap mengambil payload dari blockchain melalui beberapa langkah.

Pertama, malware mengambil transaksi terbaru dari dompet Tron milik penyerang. Selanjutnya, data transaksi tersebut didekode untuk memperoleh hash transaksi pada Binance Smart Chain. Hash tersebut kemudian digunakan untuk mengambil payload terenkripsi yang tersimpan dalam transaksi BSC.

Tahap terakhir adalah mendekripsi payload menggunakan kunci yang telah ditanamkan di dalam kode malware sebelum akhirnya menjalankan muatan berikutnya.

Menurut Gudimalla, metode ini memungkinkan pelaku menyimpan petunjuk lokasi payload di blockchain publik, bukan pada domain internet yang sewaktu-waktu dapat diblokir.

Aptos Menjadi Jalur Cadangan

Peneliti juga menemukan bahwa ViteVenom memiliki mekanisme cadangan apabila salah satu jalur komunikasi gagal. Jika malware tidak berhasil mengambil payload melalui jaringan Tron, maka secara otomatis ia akan beralih menggunakan Aptos.

Payload tersebut kemudian mengambil konfigurasi server C2 sekaligus mengunduh loader tahap berikutnya yang bertanggung jawab menjalankan RAT.

Tidak hanya itu, malware juga memiliki mekanisme alternatif lain. Apabila komunikasi melalui blockchain sama sekali tidak berhasil, malware dapat langsung mengunduh RAT melalui koneksi HTTP, sehingga proses infeksi tetap dapat berlangsung.

Pendekatan berlapis seperti ini menunjukkan bahwa pelaku telah merancang infrastruktur yang tangguh agar malware tetap berfungsi meskipun salah satu jalur komunikasi terputus.

Diduga Berasal dari Aktor Ancaman yang Sama

Checkmarx mengaitkan aktivitas ini dengan aktor ancaman yang diberi nama SuccessKey. Bukti yang ditemukan menunjukkan bahwa aktivitas kampanye tersebut kemungkinan telah dimulai sejak 27 Februari 2026, saat dompet mata uang kripto yang digunakan dalam operasi ViteVenom pertama kali diaktifkan.

Meski nama paket, akun pengembang, maupun dompet kripto yang digunakan tampak berbeda, para peneliti menemukan sejumlah kesamaan penting dengan kampanye ChainVeil. Kesamaan tersebut meliputi penggunaan alamat dompet Tron, akun Aptos, serta transaksi pada Binance Smart Chain yang mengarah ke malware yang sama.

Hal ini mengindikasikan bahwa kedua kampanye kemungkinan dioperasikan oleh pelaku yang sama atau setidaknya berasal dari kelompok ancaman yang memiliki infrastruktur bersama.

Diduga Berkaitan dengan Kelompok Peretas Korea Utara

Temuan terbaru dari OpenSourceMalware memperkuat dugaan bahwa kampanye ini berkaitan dengan operasi yang dikenal sebagai PolinRider, kelompok ancaman yang diyakini memiliki hubungan dengan peretas asal Korea Utara.

Sebelumnya, perusahaan keamanan Socket juga mengungkap keberadaan 108 paket perangkat lunak dan ekstensi browser berbahaya yang tersebar di berbagai ekosistem, termasuk npm, Packagist, bahasa pemrograman Go, hingga Google Chrome.

Menurut OpenSourceMalware, keterkaitan tersebut didasarkan pada berbagai kesamaan teknis, seperti penggunaan dompet TRON yang identik sebagai jalur komunikasi command-and-control, alamat cadangan Aptos, hingga penggunaan kunci dekripsi XOR yang sama.

Salah satu pendiri OpenSourceMalware, Jenn Gile, menyebut kampanye ini sebagai bagian dari operasi PolinRider yang kini secara langsung menyasar ekosistem npm dan Vite.

Pengembang Diminta Segera Melakukan Mitigasi

Sebagai langkah pencegahan, Checkmarx mengimbau seluruh pengembang yang pernah menginstal salah satu paket tersebut agar segera menghapusnya dari proyek.

Selain itu, pengembang juga disarankan melakukan audit terhadap seluruh dependensi aplikasi, mengganti seluruh kredensial yang berpotensi bocor, serta memeriksa apakah terdapat perubahan tidak sah pada file konfigurasi sistem seperti .bashrc, .zshrc, dan .profile.

Kasus ViteVenom menjadi pengingat bahwa serangan terhadap rantai pasok perangkat lunak terus berkembang dengan teknik yang semakin canggih. Pemanfaatan blockchain sebagai infrastruktur command-and-control menunjukkan bahwa pelaku kini tidak lagi bergantung pada server konvensional, sehingga proses deteksi, pemblokiran, dan penindakan menjadi jauh lebih kompleks. Oleh karena itu, pengembang maupun organisasi perlu lebih cermat dalam memverifikasi setiap paket yang digunakan dan rutin melakukan audit keamanan terhadap seluruh dependensi aplikasi untuk meminimalkan risiko kompromi sistem.