ChainDrop: provenans valid dalam 400+ paket npm, dan hook Claude Code yang tidak memerlukan npm install

Pada 4 Agustus 2026 para penyerang mengambil alih akun GitHub di balik keyv, sebuah pustaka caching yang menurut Elastic Security Labs diunduh lebih dari 600 juta kali pada bulan sebelumnya. Wiz Research dan Orca Security sama-sama mencatat bahwa file berbahaya didorong langsung ke branch main keyv, dan bahwa alur kerja GitHub Actions milik proyek itu sendiri kemudian membangun dan menerbitkan rilis beracun tersebut — sehingga paket itu tiba di npm dengan membawa provenans yang valid, atestasi yang digunakan perkakas rantai pasok untuk memutuskan bahwa sebuah paket dapat dipercaya. Sebuah worm yang menyebar sendiri yang oleh para peneliti disebut ChainDrop kemudian menggunakan token npm curian untuk mengulangi trik itu pada paket-paket maintainer lain: Elastic menghitung lebih dari 400 paket unik pada 6 Agustus, Microsoft Threat Intelligence mendeskripsikan kampanye yang sama pada 4 Agustus, dan Badan Keamanan Siber Singapura menghitung lebih dari 1.300 versi paket yang terkompromi dengan total 2 miliar unduhan bulanan. Elastic dan Microsoft keduanya mendeskripsikan hook yang dijalankan ulang saat sebuah repositori dibuka di Claude Code atau Visual Studio Code. Daftar sumber lengkap catatan tersebut, tingkat keparahan, dan penilaian keyakinan terdapat di arsip insiden AI, bersama entri rantai pasok npm dan perkakas pengembang lain yang diajukan di sekitarnya.

Bagaimana pipeline rilis yang sah menandatangani kompromi dirinya sendiri

Wiz Research merekonstruksi menit-menit awal: mulai 09:00 UTC pada 4 Agustus penyerang menggunakan identitas yang telah dikompromikan untuk memasukkan payload persistensi IDE ke repositori keyv, lalu tak lama setelah itu menerbitkan versi baru keyv yang berisi payload tersebut. Wiz menyebut pihak yang dikompromikan sebagai akun pemelihara GitHub dan mengatakan beberapa paket dalam ekosistem keyv dan cacheable turut menyusul.

Tulisan respons cepat Orca Security lebih spesifik tentang jalur penandatanganan. Menurut tulisan itu, penyerang mem-push dua file berbahaya — setup.mjs dan Math_Symbol.js — langsung ke cabang utama dan segera merilis versi baru. Karena rilis tersebut dibuat melalui alur kerja GitHub Actions milik akun yang terkompromi, versi yang telah diracuni diterbitkan ke npm dengan tanda tangan provenance yang valid, melewati pemeriksaan integritas rantai pasok standar. Zscaler ThreatLabz, tim riset independen yang tidak termasuk di antara sumber yang dikutip dalam catatan tersebut, mencapai kesimpulan yang sama dan memberi tingkat pada temuan itu: versi berbahaya keyv 6.0.0 membawa provenance SLSA Build Level 3 yang valid karena penyerang mengendalikan repositori sumber. BleepingComputer, yang melaporkan kampanye tersebut pada hari itu, mencatat mekanisme yang sama — file berbahaya di-push langsung ke cabang utama proyek-proyek, versi baru dihasilkan, provenance valid karena build dijalankan melalui alur kerja GitHub Actions yang sah.

Analisis Microsoft menambahkan detail yang tampak seperti kontradiksi namun sebenarnya bukan. Pada tahap propagasi worm, Microsoft Threat Intelligence menemukan bahwa banyak versi berbahaya tidak memiliki commit kode sumber, pull request, tag, atau rilis sah yang bersesuaian, yang menunjukkan bahwa penyerang memodifikasi dan menerbitkan tarball paket secara langsung alih-alih mengompromikan setiap repositori sumber publik. Jika dibaca bersama, sumber-sumber tersebut menggambarkan dua rezim penandatanganan dalam satu kampanye: rilis keyv pertama melewati pipeline CI asli korban dan membawa atestasi yang menjaminnya, sementara rilis worm yang lebih baru sebagian besar dirakit dan diterbitkan dengan token registri yang dicuri, sehingga tidak meninggalkan jejak sumber sama sekali. Pengamatan Microsoft sendiri adalah bahwa pola tarball langsung menjelaskan mengapa rilis berbahaya sering muncul sebagai kenaikan versi patch biasa tanpa commit kode sumber atau pull request yang bersesuaian.

Pelajaran yang tidak menyenangkan itu dinyatakan secara gamblang oleh Zscaler: provenance memvalidasi proses build, bukan identitas akun atau integritas sistem CI yang menjalankannya. Perusahaan itu juga mengakui adanya celah yang penting bagi siapa pun yang mencoba merekonstruksi insiden tersebut — mekanisme pengambilalihan akun yang tepat yang digunakan penyerang tidak diketahui pada saat analisisnya.

Apa yang berjalan saat npm install: preinstall, Bun 1.3.13, dan kolektor 300 pola

Elastic Security Labs menggambarkan pemicunya sebagai preinstall hook di package.json, yang menyalahgunakan fitur npm yang sah yang menjalankan perintah arbitrer sebelum sebuah paket selesai dipasang, tanpa memerlukan interaksi lebih lanjut dari korban. Hook tersebut menjalankan setup.mjs, yang memeriksa apakah runtime JavaScript Bun sudah ada. Jika tidak, dropper mendeteksi platform dan arsitektur mesin, mengunduh Bun v1.3.13 dari halaman rilis resmi, mengekstraknya, menggunakannya untuk menjalankan payload, lalu menghapus direktori sementara untuk menghilangkan jejak. Wiz secara independen mengidentifikasi user agent Bun/1.3.13 yang melakukan panggilan berbahaya. Dropper ini lintas platform, menargetkan Linux, macOS, dan Windows.

Payload tersebut diobfuskasi secara berat, dan sumber-sumber sedikit berbeda pendapat tentang ukurannya: Elastic menyebutnya sebesar 711 kilobita, Orca Security sebesar 728 KB. Payload ini menggunakan perataan aliran kendali dan skema pengodean string Base91, serta memuat string bertema Dune — laza, kanly, ghola, mentat, lasgun, sietch, fedaykin, tleilaxu, sandworm, sardaukar, ornithopter, navigator — yang menurut Elastic memiliki kemiripan dengan kampanye Shai-Hulud sebelumnya.

Laporan perilaku Microsoft menambahkan dua detail yang layak diketahui. Payload memeriksa lingkungannya terlebih dahulu dan keluar pada sistem berbahasa Rusia, menghindari instance duplikat, dan memulai salinan latar belakang yang terlepas di workstation pengembang; di dalam CI, ia tetap terikat pada job aktif agar dapat menjangkau rahasia alur kerja, kredensial runner, dan izin penerbitan OpenID Connect.

Kolektor adalah bagian di mana insiden ini menjadi cerita tentang perkakas AI, bukan cerita kredensial generik. Elastic menyebutkan bahwa kolektor ini memindai lebih dari 300 pola unik di seluruh penyimpanan kredensial pada mesin pengembang, dan bahwa penargetan yang mencolok diarahkan pada kredensial perkakas AI: Anthropic, Claude, Codex, Cursor, OpenAI dan Gemini. Kolektor ini juga mengambil kredensial AWS, GCP, Azure dan Alibaba Cloud, token akses pribadi GitHub, token JWT dan sesi, token HashiCorp Vault, kunci privat SSH, token akun layanan Kubernetes dan token npm. Wiz melaporkan bahwa daftar target telah diperluas hampir 70% dibandingkan kode Mini Shai-Hulud sebelumnya yang menjadi dasarnya, dengan tambahan baru termasuk penyimpanan kredensial agen AI untuk Claude, OpenAI, Codex, Cursor dan Gemini, keystore cryptocurrency untuk Foundry, Solana dan Monero, master.key Jenkins, rahasia Argo CD dan Harbor, konfigurasi CLI Alibaba dan Tencent, serta /etc/shadow.

Microsoft dan Elastic sama-sama menjelaskan desain eksfiltrasi yang sama. Hasil diserialisasi sebagai JSON, dikompresi dengan gzip, dan dienkripsi dengan kunci AES-256-GCM yang dihasilkan secara acak, lalu kunci tersebut dibungkus dengan kunci publik RSA penyerang. Payload tidak meng-hardcode domain command-and-control-nya: Elastic menyebutkan bahwa payload mengkueri kontrak pintar Ethereum di 0xE1f2395ee43e45A1556EC6438a88c31B83493103 untuk mengambil endpoint saat ini pada runtime, sehingga infrastruktur dapat dirotasi tanpa menyentuh malware. Jika itu gagal, payload mencari penanda yang ditandatangani secara kriptografis — thebeautifulmarchoftime — dalam riwayat commit GitHub dan memvalidasi domain terhadap kunci RSA yang tertanam. Jika keduanya gagal, payload mengeksfiltrasi melalui repositori GitHub publik yang dibuat oleh akun korban sendiri, yang dideskripsikan sebagai "Shai-Hulud: Here We Go Again". Microsoft mencatat bahwa salah satu jalur fallback mengodekan token GitHub yang dicuri dengan Base64 ganda, bukan mengenkripsinya.

Penyebaran bergantung pada kualitas token. Elastic melaporkan worm hanya aktif ketika penyapuan kredensial menemukan token npm dengan izin menulis paket dan kemampuan untuk menerbitkan tanpa autentikasi dua faktor; ia kemudian mengunduh tarball terbaru setiap paket yang dapat ditulis, menyuntikkan dirinya, menaikkan versi patch, dan menerbitkannya kembali. BleepingComputer menambahkan bahwa setiap token divalidasi secara real time terhadap endpoint whoami registri sebelum dicuri. Rutinitas itulah yang mengubah satu identitas yang dikompromikan menjadi ratusan rilis, dan itulah sebabnya versi berbahaya tampak seperti kenaikan patch biasa.

Jalur infeksi yang tidak memerlukan npm install

Temuan yang membedakan kampanye ini dari worm npm sebelumnya adalah bahwa instalasi bukan lagi satu-satunya cara masuk. Elastic menjelaskan dua jalur eksekusi tambahan yang ditujukan kepada pengguna alat pengodean AI. Sebuah SessionStart hook di .claude/settings.json menjalankan node .claude/setup.mjs saat sesi Claude baru dimulai. Untuk VS Code, sebuah folderOpen task di .vscode/tasks.json menjalankan node .vscode/setup.mjs saat repositori yang terinfeksi dibuka. Analisis Microsoft mencantumkan empat artefak yang sama — .claude/settings.json, .claude/setup.mjs, .vscode/tasks.json dan .vscode/setup.mjs — dan menyebutnya sebagai jalur infeksi sekunder yang dapat memulai ulang payload setelah instalasi npm awal selesai.

Kondisi yang memperlebar ini secara dramatis terletak pada kredensial yang dicuri. Ketika sebuah GitHub App token termasuk di antaranya, Elastic melaporkan bahwa worm tersebut melakukan commit hook berbahaya ke hingga 50 branch per repositori yang dapat diakses, dengan menyuntikkan .claude/settings.json dan .vscode/tasks.json ke masing-masing branch. Kesimpulan Elastic adalah bahwa developer yang meng-clone salah satu branch tersebut dan membukanya dapat terinfeksi dengan membuka proyek — tanpa pemasangan paket, dan karena itu tidak ada pertahanan skrip instalasi sama sekali dalam jalur tersebut.

Penilaian Zscaler adalah bahwa hook persistensi tetap bertahan setelah paket dihapus dan dieksekusi ulang hanya dengan membuka proyek di VS Code atau Claude Code, yang membypass --ignore-scripts mitigasi yang diadopsi banyak tim setelah worm npm sebelumnya. Rekomendasinya pun langsung menyusul: perlakukan file konfigurasi IDE dan agen AI — .claude/, .cursor/, .vscode/, .gemini/ — sebagai kode yang dapat dieksekusi, ditinjau dengan ketelitian yang sama seperti kode sumber.

Ada sidik jari untuk bagian repositori dari serangan itu. Elastic melaporkan bahwa commit yang dihasilkan worm dapat diidentifikasi melalui nama penulis claude dan pesan commit chore: update config, dan Wiz mencatat string pesan yang sama. Elastic menambahkan bahwa pesan commit juga membawa token GitHub yang dicuri bersama string intimidasi — IfYouBlockThisAPIKeyItWillCrashTheLiveProductionServersOfAllThirdPartyClients — yang oleh Elastic dibaca sebagai upaya menakuti pengembang agar tidak mencabut token. Wiz mencatat string yang sama dalam commit awal, dengan pesan yang lebih pendek dipasang pada commit yang memperkenalkan hook IDE.

Hitungannya tidak cocok, dan itu bukan kontradiksi.

Setiap angka yang dipublikasikan untuk cakupan dampak dilekatkan pada unit yang berbeda, dan unit-unit tersebut tidak dapat dipertukarkan. Elastic Security Labs, dalam tulisan tanggal 6 Agustus, menghitung lebih dari 400 paket npm unik yang dikompromikan. Microsoft Threat Intelligence menggambarkan lebih dari 400 paket di berbagai penerbit yang tidak terkait. Aikido, sebagaimana dikutip oleh BleepingComputer, menempatkannya pada setidaknya 868 paket di 1.381 versi. Orca Security melaporkan 10 paket keyv dan cacheable yang teracuni secara langsung dengan lebih dari 619 juta unduhan bulanan, lalu 868 paket tambahan dan 1.381 versi yang telah dijangkau oleh worm, untuk lebih dari 2 miliar instalasi bulanan. Advisory CSA Singapura AD-2026-009, tertanggal 6 Agustus, mencatat lebih dari 1.300 versi paket yang dikompromikan yang mewakili gabungan 2 miliar unduhan bulanan.

Itu adalah tiga penyebut yang berbeda — paket, versi paket, dan volume unduhan bulanan — yang diambil pada tiga momen berbeda dalam kampanye yang masih berlangsung. Penjelasan Zscaler tentang kecepatannya menjelaskan mengapa angka-angka itu berbeda: menurutnya, worm menyebar sendiri ke lebih dari 400 paket dalam waktu kurang dari empat jam dan, pada puncaknya, menerbitkan sekitar satu paket terinfeksi per detik. Menganggap jumlah yang lebih belakang sebagai koreksi atas jumlah sebelumnya adalah keliru; masing-masing adalah snapshot, dan tidak ada sumber yang dikutip yang mengklaim total akhir.

Angka eksposur Elastic pada tingkat pustaka adalah yang paling sering dikutip dan paling tidak ambigu. Perusahaan ini melaporkan keyv saja mencapai lebih dari 600 juta unduhan pada bulan sebelumnya, dengan flat-cache hampir 580 juta, cacheable-request lebih dari 137 juta, cacheable lebih dari 30 juta, dan cache-manager lebih dari 16 juta. Advisory CSA mencantumkan versi spesifik yang terkompromikan, di antaranya keyv 6.0.0, flat-cache 6.1.24, file-entry-cache 11.1.6, cacheable-request 13.0.20, cacheable 2.5.1, cache-manager 7.2.10, @cacheable/utils 2.5.1 dan ecto 5.0.1.

Jebakan pencabutan

Para responder yang menginstal versi terdampak menghadapi masalah kedua setelah masalah pertama. Elastic melaporkan bahwa dalam jalur fallback GitHub bersyarat, payload mencoba menginstal komponen token-monitor yang mempertahankan akses kredensial dan berisi handler destruktif jika token yang dipantau dicabut. Zscaler menjelaskan mekanisme tersebut secara rinci dalam aspek operasional dan menyebutnya sebagai jebakan pencabutan token: worm menginstal proses latar belakang yang melakukan polling ke GitHub API setiap 60 detik dengan token yang dicuri, dan jika token tersebut mengembalikan error 4xx — yang berarti korban telah mencabutnya — payload destruktif sekunder akan terpicu, yang bergantung pada variannya dapat mencakup eksekusi kode jarak jauh atau penghapusan direktori home pengguna.

Wiz menambahkan bahwa saklar dead-man diaktifkan secara selektif berdasarkan respons dari server komando dan kendali: operator dapat mengembalikan nilai yang menentukan perintah mana yang harus diaktifkan dan token mana yang harus dipantau oleh saklar untuk pencabutan. Wiz juga mencatat bahwa monitor mencari respons valid dari endpoint pengguna, sehingga jenis token apa pun yang valid di sana dapat berfungsi sebagai pemicu.

Konsekuensi praktisnya dicatat oleh BleepingComputer dan oleh panduan Aikido yang dikutipnya: stasiun kerja pengembang atau runner CI/CD yang memasang versi terdampak harus diperlakukan sebagai telah dikompromikan bahkan jika paket tersebut kemudian dihapus, karena eksekusi tahap kedua mungkin telah mengekspos token dan merusak integritas build. Panduan Microsoft mencapai kesimpulan yang sama dari sisi build, memperingatkan bahwa organisasi yang memasang paket terdampak dengan skrip siklus hidup diaktifkan harus memperlakukan stasiun kerja atau runner build sebagai berpotensi dikompromikan dan membangun ulang sistem terdampak serta artefak hilir dari sumber tepercaya.

Apa yang sudah mapan, apa yang dinilai, dan apa yang belum ditunjukkan siapa pun

Catatan utama dan lima analisis independen bertemu pada mekanika, dan klaim mekanis merupakan bagian terkuat dari berkas tersebut.

• Akun GitHub pemelihara keyv telah diretas, dan file berbahaya di-push langsung ke main sebelum sebuah rilis diterbitkan pada 4 Agustus 2026 — dilaporkan secara konsisten oleh Wiz, Orca Security, BleepingComputer, dan CSA Singapore.

• Setidaknya keyv 6.0.0 mencapai npm melalui pipeline CI milik korban sendiri dengan membawa provenance yang valid, dengan Zscaler menyebutkan atestasi SLSA Build Level 3. Inilah klaim yang membuat insiden ini menonjol, dan klaim tersebut didukung oleh tiga organisasi yang tidak ikut menjadi penulis bersama atas karya masing-masing.

• Hook pra-instalasi menjalankan setup.mjs, yang mengunduh Bun v1.3.13 dan menjalankan payload terobfuskasi yang memindai lebih dari 300 pola kredensial, termasuk kredensial alat pengkodean AI — Elastic dan Wiz sepakat tentang versi runtime maupun daftar kredensial yang ditargetkan AI.

• Hook yang ditulis ke .claude/settings.json dan .vscode/tasks.json dieksekusi saat sesi dimulai dan saat folder dibuka, dan token GitHub App memperluasnya hingga 50 cabang per repositori yang dapat diakses — temuan Elastic, dan dasar pernyataannya bahwa seorang developer dapat terinfeksi dengan membuka repositori.

• Lebih dari 400 paket unik telah dikompromikan dalam hitungan hari, dan CSA Singapura, sebuah regulator nasional, menerbitkan advisori AD-2026-009 pada 6 Agustus 2026 yang mencantumkan versi dan indikator yang terdampak.

Apa yang oleh sumber-sumber diperlakukan sebagai penilaian, bukan fakta, harus diberi label. Wiz mendeskripsikan payload sebagai keturunan keluarga malware "Mini" Shai-Hulud, yang dibangun berdasarkan repositori publik Shai-Hulud-Open-Source yang diterbitkan oleh TeamPCP, dengan beberapa perubahan krusial; Orca Security mengaitkan serangan tersebut dengan TeamPCP; Zscaler menghubungkan ChainDrop dengan TeamPCP dan menempatkannya dalam satu garis keturunan yang berjalan sejak September 2025. Itu adalah konsensus atribusi vendor, bukan sesuatu yang dibuktikan oleh dokumen primer yang dikutip tentang individu atau kelompok bernama.

Ada tiga hal yang tidak ditegaskan oleh sumber mana pun yang dikutip, dan tulisan ini tidak mengisinya. Pertama, bagaimana akun maintainer diambil alih: Zscaler menyatakan secara jelas bahwa mekanisme persisnya tidak diketahui pada saat analisisnya. Kedua, satu total akhir tunggal: angka 400, 868, dan 1.300 menghitung paket, paket-dan-versi, serta versi pada momen yang berbeda, dan tidak ada sumber yang menyatakan kampanye ini telah berakhir. Ketiga, dan yang paling penting bagi klaim spesifik AI dalam catatan ini, tidak ada sumber yang dikutip melaporkan adanya kasus terkonfirmasi atas kredensial Anthropic, Codex, Cursor, Gemini, atau OpenAI yang dicuri lalu diputar ulang terhadap akun penyedia. Yang terdokumentasi adalah niat dan kemampuan — sebuah daftar target yang eksplisit, dan sebuah kolektor yang dibangun untuk mencapainya — bukan pelanggaran hilir yang terbukti terhadap sistem penyedia AI.

Apa yang berubah setelahnya — dan apa yang harus dilakukan seorang petugas respons

Solusi paling konkret dalam catatan tersebut adalah perubahan platform. Elastic merekomendasikan peningkatan ke npm 12 atau versi yang lebih baru, yang memblokir hook preinstall secara default; panduan Microsoft secara independen merekomendasikan npm CLI v12 dan fitur min-release-age, yang menahan versi baru cukup lama agar komunitas dapat mendeteksi kompromi sebelum mencapai build.

Selain itu, langkah-langkah respons yang diterbitkan oleh sumber-sumber tersebut sangat tumpang tindih.

• Elastic: cabut semua token GitHub, termasuk token sesi, di mesin yang terdampak; cabut dan buat ulang token npm, terutama token otomatisasi dengan izin tulis dan bypass autentikasi dua faktor; cari di repositori commit yang tidak sah dengan pesan chore: update config from claude@users.noreply.github.com; rotasi rahasia cloud, Kubernetes, Vault, AI-tooling, dan CI/CD; aktifkan autentikasi dua faktor pada akun npm.

• Microsoft: bersihkan cache npm dan yarn pada endpoint dan host build yang terdampak, sematkan versi yang diketahui baik, tinjau lockfile dan artefak untuk versi yang terkompromi termasuk referensi transitif, bangun ulang image basis bersama dan runner build golden, serta tinjau cakupan token, persetujuan alur kerja, dan provenans rilis karena insiden ini konsisten dengan penyalahgunaan pipeline CI/CD melalui penerbitan OIDC.

• CSA Singapore: hapus versi terdampak dari lingkungan pengembangan, build, dan CI/CD; perlakukan sistem terdampak sebagai terkompromi dan bangun ulang; rotasi kredensial; tinjau lingkungan cloud dan kode sumber untuk akses tidak sah; pantau indikator yang dipublikasikan; dan perkuat kontrol allowlisting, verifikasi integritas, serta provenans.

• Zscaler: perlakukan .claude/, .cursor/, .vscode/ dan .gemini/ sebagai kode yang dapat dieksekusi, dan berhenti menganggap provenance SLSA atau Sigstore sebagai bukti keamanan — alih-alih demikian, lapisi dengan deteksi anomali pada perilaku penerbitan seperti penerbitan di luar jam kerja, penerbitan versi secara massal, dan penerbit untuk pertama kalinya.

Catatan tersebut tidak memuat hasil remediasi. Tidak ada sumber yang dikutip yang melaporkan bahwa versi berbahaya telah sepenuhnya dihapus, pemulihan akun, penangkapan, atau tindakan penegakan regulasi; advisory CSA adalah pemberitahuan kepada para defender, bukan temuan terhadap suatu pihak.

Yang diubah oleh insiden ini adalah klasifikasi. File konfigurasi alat pengembang adalah jalur eksekusi, dan editor yang membuka folder adalah peristiwa eksekusi. Dan atestasi provenance adalah pernyataan tentang pipeline mana yang menghasilkan sebuah paket — bukan tentang siapa yang memegang kunci saat pipeline itu berjalan, yang justru merupakan celah yang terlewat oleh rilis keyv yang pertama.