101 Paket npm Berbahaya Diam-Diam Masukkan Akun WhatsApp Developer ke Grup

Ekosistem npm kembali menghadapi masalah keamanan yang cukup bikin developer perlu lebih waspada. Peneliti keamanan menemukan 101 paket npm berbahaya yang digunakan dalam kampanye bernama PhantomSub.

Yang membuat kasus ini menarik, serangannya bukan sekadar mencuri data dari komputer developer. Paket-paket tersebut memanfaatkan Baileys, proyek open source yang biasa digunakan untuk berinteraksi dengan WhatsApp, untuk membuat akun WhatsApp yang sudah terautentikasi bergabung atau mengikuti grup dan channel tertentu tanpa persetujuan pemiliknya.

Menurut laporan The Hacker News berdasarkan penelitian OX Security, seluruh paket tersebut telah mencatat sekitar 490.000 unduhan. Bahkan sekitar 116.000 unduhan terjadi dalam 30 hari terakhir, menunjukkan bahwa paket-paket tersebut sempat mendapatkan penggunaan yang cukup luas.

Masalahnya Berawal dari Paket npm yang Terlihat Seperti Library Biasa

Bagi developer JavaScript dan Node.js, npm sudah menjadi bagian penting dalam workflow sehari-hari. Tinggal menjalankan perintah instalasi, dependency langsung masuk ke project dan bisa digunakan.

Kemudahan inilah yang sekaligus menjadi salah satu titik risiko dalam serangan supply chain. Developer tidak selalu membaca seluruh source code dependency sebelum memasangnya, terutama ketika package terlihat berkaitan dengan library yang memang mereka butuhkan.

Dalam kampanye PhantomSub, sejumlah paket dibuat sebagai fork atau modifikasi dari Baileys. Nama-namanya juga dibuat sedemikian rupa sehingga sekilas terlihat seperti package yang berhubungan dengan library tersebut.

Beberapa nama yang disebut dalam laporan antara lain ourin-baileys, @nexustechpro/baileys, @badzz88/baileys, neuralwhatsapp, lilys-baileys, dan sejumlah package lainnya.

Bagaimana PhantomSub Menyalahgunakan WhatsApp?

Inti masalahnya ada pada sesi WhatsApp yang sudah terautentikasi. Ketika package berbahaya digunakan dalam aplikasi atau bot WhatsApp, kode di dalamnya dapat menjalankan fungsi yang berkaitan dengan subscription atau penambahan ke tujuan tertentu.

Alih-alih hanya menjalankan fungsi yang dibutuhkan developer, package tersebut dapat mengarahkan akun WhatsApp ke grup atau channel yang dikendalikan pihak lain.

Artinya, developer bisa saja merasa hanya sedang menjalankan bot atau aplikasi berbasis Baileys, sementara akun WhatsApp yang digunakan untuk autentikasi justru ikut dimanfaatkan untuk menambah follower atau anggota ke tujuan tertentu.

OX Security menemukan bahwa beberapa package memiliki indikator yang sama, termasuk channel ID, daftar channel dari sumber remote, serta akun GitHub yang saling berkaitan. Kesamaan tersebut menunjukkan bahwa sejumlah package yang terlihat berbeda ternyata memiliki hubungan dengan infrastruktur kampanye yang sama.

Bukan Cuma Satu Pola Malware

Peneliti menemukan tiga varian berbeda dalam kampanye tersebut. Perbedaannya terutama berada pada bagaimana package mendapatkan informasi mengenai grup atau channel yang menjadi target.

Pada salah satu varian, daftar ID dapat diambil dari GitHub ketika package berjalan. Model seperti ini menarik bagi penyerang karena tujuan kampanye dapat diubah dari sisi remote tanpa harus selalu menerbitkan versi package baru.

Varian lainnya menyimpan ID secara langsung di dalam source code, sedangkan varian ketiga menggunakan teknik encoding atau obfuscation sehingga informasi tersebut tidak langsung terlihat ketika developer memeriksa kode.

Pola seperti ini menunjukkan kenapa sekadar melihat nama package atau melakukan pemeriksaan singkat terhadap source code belum tentu cukup untuk memastikan sebuah dependency aman.

Kenapa Developer Perlu Peduli?

Kasus PhantomSub memang tidak sama dengan malware yang langsung mengenkripsi file atau mencuri password. Namun, dampaknya tetap penting karena menyentuh trusted developer workflow.

Ketika sebuah dependency masuk ke project, package tersebut memperoleh tingkat kepercayaan tertentu dari developer. Bahkan dalam beberapa workflow, dependency dapat berjalan otomatis ketika project dipasang atau digunakan.

Masalahnya menjadi lebih serius jika aplikasi yang menggunakan package tersebut memiliki akses ke akun WhatsApp bisnis, bot, session credential, server, atau environment produksi.

Jadi, keamanan dependency bukan hanya persoalan apakah sebuah package bisa menjalankan fungsi yang dijanjikan. Developer juga perlu mempertimbangkan apa saja yang sebenarnya dilakukan package ketika aplikasi berjalan.

Hal ini juga sejalan dengan tren serangan supply-chain lain yang menyasar ekosistem npm. Dalam beberapa kasus sebelumnya, package berbahaya bahkan digunakan untuk mencari credential, token, dan secret yang tersimpan di lingkungan developer maupun CI/CD.

Kalau kamu sering bekerja dengan akun developer dan berbagai layanan online, membiasakan penggunaan aplikasi authenticator untuk keamanan akun juga bisa menjadi lapisan perlindungan tambahan ketika credential utama mengalami masalah.

Apa yang Sebaiknya Dilakukan Pengguna npm?

Langkah pertama adalah tidak sembarangan memasang package hanya karena namanya terlihat familiar.

Sebelum menjalankan npm install, periksa publisher, repository, jumlah penggunaan, dokumentasi, aktivitas pengembangan, dependency, serta perubahan versi yang mencurigakan.

Untuk project yang sudah berjalan, developer juga sebaiknya melakukan audit dependency secara berkala. Package yang sudah lama terpasang bukan berarti otomatis aman selamanya karena repository atau maintainer dapat mengalami perubahan, akun dapat diambil alih, dan versi baru bisa membawa kode yang berbeda.

Jika project menggunakan banyak dependency, proses pemeriksaan dapat dibantu dengan tooling keamanan supply-chain sehingga perubahan package dan dependency yang mencurigakan lebih mudah diketahui.

Jangan Hanya Percaya Nama Package

Salah satu pelajaran paling penting dari PhantomSub adalah nama package tidak cukup untuk menentukan keamanan sebuah dependency.

Package yang terlihat seperti fork, modifikasi, atau alternatif dari library populer tetap perlu diperiksa lebih dalam. Terlebih jika package tersebut berhubungan dengan authentication, WhatsApp session, API credential, database, cloud service, atau sistem produksi.

Untuk developer, prinsip sederhananya adalah: semakin besar akses yang diberikan kepada sebuah dependency, semakin penting proses verifikasinya.

Kasus 101 package ini juga menunjukkan bahwa serangan supply-chain tidak selalu datang dalam bentuk yang dramatis. Terkadang perilakunya justru terlihat seperti aktivitas biasa sampai developer menyadari bahwa akun atau resource mereka telah digunakan untuk tujuan yang tidak pernah mereka izinkan.

PhantomSub Jadi Pengingat untuk Lebih Teliti dengan npm

Penemuan 101 package berbahaya ini menjadi pengingat bahwa ekosistem open source memang sangat membantu developer, tetapi kepercayaan terhadap dependency tetap perlu diimbangi dengan pemeriksaan keamanan.

Dengan sekitar 490.000 total unduhan yang dikaitkan dengan package dalam kampanye tersebut, kasus ini menunjukkan bahwa dependency berbahaya bisa mendapatkan distribusi cukup luas sebelum akhirnya teridentifikasi.

Buat developer yang menggunakan npm dan Baileys, langkah paling masuk akal sekarang adalah mengecek dependency yang digunakan, memastikan package berasal dari sumber yang benar, menghindari fork tidak jelas, serta memeriksa perubahan dependency sebelum melakukan deployment.

Karena dalam dunia software modern, satu package kecil yang terlihat sepele bisa ikut membawa konsekuensi yang jauh lebih besar ke dalam project.