Sekelompok penyerang siber memanfaatkan sistem otomatisasi rilis resmi milik proyek Ethersphere guna menyebarkan versi berbahaya dari dua perangkat lunak jaringan penyimpanan terdesentralisasi Swarm, yakni paket bee-js 13.3.0 serta aplikasi Swarm Desktop 0.56.2.
Kedua rilis yang terinfeksi tersebut dirancang untuk mengunduh serta mengeksekusi muatan kode jahat dengan tujuan utama merampas kunci dompet kripto yang tersimpan pada node Swarm Desktop beserta kata sandi pembukanya. Di samping itu, kode berbahaya ini juga diprogram untuk menanamkan backdoor berbahaya ke dalam sistem operasi Windows, macOS, maupun Linux.
Perlu diketahui, paket bee-js sendiri merupakan pustaka JavaScript inti yang mendasari operasional Swarm Desktop dan utilitas antarmuka baris perintah swarm-cli. Sementara itu, Swarm Desktop berfungsi menjalankan node Swarm langsung di komputer lokal pengguna sekaligus menyimpan seluruh berkas kunci privat node tersebut secara lokal.
Saat ini, kedua rilis yang telah disusupi malware tersebut sudah sepenuhnya ditarik dari peredaran, dan pengelola proyek telah merilis pembaruan bersih untuk Swarm Desktop pada hari ini. Kendati demikian, langkah pembersihan ini tidak menghapus backdoor yang terlanjur terpasang di sistem korban dan tidak membatalkan kunci privat yang sudah telanjur terkirim ke penyerang. Beruntung, hingga tulisan ini diturunkan, belum ada laporan mengenai insiden kehilangan saldo aset kripto dari para pengguna terdampak.
Versi berbahaya Swarm Desktop 0.56.2 awalnya muncul di platform GitHub pada sekitar pukul 00:36 UTC hari ini sebelum akhirnya dihentikan dan ditarik sekitar 8,5 jam setelahnya. Mekanisme pembaruan otomatis bawaan aplikasi tersebut diketahui langsung menyodorkan versi bermasalah ini ke komputer Windows x64 dan perangkat Mac berbasis Apple Silicon hanya dalam rentang waktu kurang lebih 10 menit, sebagaimana dilaporkan dalam analisis mendalam oleh firma keamanan rantai pasok Socket. Sebaliknya, perangkat Mac berbasis prosesor Intel sama sekali tidak menerima pembaruan tersebut, sedangkan instalasi pada sistem operasi Linux memang tidak menerapkan skema pembaruan mandiri secara otomatis.
Sementara itu, versi jahat bee-js 13.3.0 sempat bertahan sebagai rilis paling anyar di repositori npm selama sekitar 75 menit, terhitung dari pukul 00:09 hingga 01:25 UTC pada hari yang sama. Muatan jahat dalam pustaka tersebut dieksekusi melalui skrip postinstall, sebuah skrip instalasi lanjutan yang dijalankan secara otomatis oleh package manager npm saat proses pemasangan berlangsung, kecuali pengguna mematikan eksekusi skrip instalasi secara manual. Kondisi ini membuat kode jahat tetap aktif berjalan di latar belakang meskipun proyek pengembang sama sekali tidak memanggil atau mengimpor pustaka tersebut ke dalam basis kodenya.
Sejumlah paket dependensi internal proyek seperti swarm-cli, dasbor bee-dashboard, hingga repositori kode sumber Swarm Desktop sendiri saat itu menerapkan rentang batasan versi yang secara otomatis mengizinkan pemasangan bee-js 13.3.0. Dampaknya, setiap proses instalasi baru yang dieksekusi di dalam rentang waktu krusial tersebut berpotensi besar menarik masuk paket yang telah disusupi peretas.
Sejauh ini tidak ada satu pun laporan resmi yang merinci angka pasti jumlah komputer yang telah terinfeksi. Namun, pihak firma keamanan memperkirakan bahwa bee-js versi 13.3.0 telah diunduh sebanyak kurang lebih 10 kali, dengan catatan angka tersebut sudah mencakup unduhan yang dilakukan oleh pemindai keamanan otomatis dan peladen cermin pihak ketiga. Pada sisi lain, angka unduhan untuk penginstal Swarm Desktop 0.56.2 dilaporkan telah menyentuh angka 65 kali pada pukul 08:27 UTC, termasuk akses pengunduhan oleh kalangan peneliti keamanan.
Guna menanggulangi situasi genting ini, tim pemelihara Ethersphere bergegas menarik rilis 0.56.2 dan menggantikannya pada hari yang sama dengan paket bersih berlabel versi 0.56.3. Dalam berkas perubahan sistem yang menandai peluncuran pembaruan darurat tersebut, salah seorang pengembang Ethersphere menuliskan klarifikasi bahwa versi 0.56.2 “dipublikasikan oleh pihak penyerang menggunakan kredensial integrasi berkelanjutan (CI) curian dan telah berhasil ditarik.”
Rilis perbaikan 0.56.3 pada dasarnya mengusung basis kode yang sepenuhnya identik dengan versi terdahulu yakni 0.56.1, namun telah ditandatangani ulang memanfaatkan sertifikat Developer ID yang baru saja diterbitkan, menurut penjelasan dalam catatan insiden dari pemelihara sistem terkait. Dokumen tersebut menerangkan bahwa sistem pembaruan otomatis pada aplikasi akan secara langsung menimpa instalasi versi 0.56.2 ke versi 0.56.3, kendati paket pada distribusi Linux tetap menuntut tindakan penggantian manual oleh pengguna. Melalui perbandingan komparatif kode sumber pada kedua versi yang dilakukan The Hacker News, tidak ditemukan modifikasi apa pun selain perubahan label nomor rilis dan pembaruan catatan rilis.
Ketika The Hacker News meninjau kembali repositori publik npm hari ini, paket versi 13.2.0 telah dipulihkan statusnya sebagai versi stabil bee-js paling mutakhir, sementara rilis berbahaya 13.3.0 sudah dihapus secara permanen sehingga tidak dapat lagi diambil dari peladen registri.
Peringatan resmi pada GitHub Security Advisory mengenai kasus bee-js 13.3.0 menegaskan secara lugas: “Komputer mana pun yang telah memasang atau menjalankan paket ini harus dianggap telah disusupi secara total.” Hal senada juga disuarakan oleh SafeDep, korporasi keamanan rantai pasok perangkat lunak, yang menyatakan peringatan darurat setara terhadap perangkat mana pun yang sempat memasang Swarm Desktop versi 0.56.2.
Bagi siapa pun yang mengintegrasikan dependensi bee-js di dalam proyek pengembangannya atau menjalankan alur kerja pengujian CI:
Bagi siapa pun yang mengoperasikan klien Swarm Desktop:
Untuk setiap perangkat komputer yang sempat mengeksekusi muatan kode bermasalah tersebut:
Cara Kerja Rantai Infeksi Malware
Berdasarkan laporan kajian teknis SafeDep, ditemukan fakta bahwa kedua rilis berbahaya tersebut mengandalkan mekanisme pemuat awal (loader) yang serupa. Modul ini tersusun dari beberapa baris kode singkat yang bertugas mengambil paket kode tambahan dari alamat jaringan jarak jauh api.frameworkmetrics[.]xyz lalu menjalankannya langsung memakai hak akses pengguna aktif. Dalam paket pustaka bee-js, fungsi pemuat ini disisipkan di dalam skrip postinstall, sedangkan pada Swarm Desktop kode loader dipicu secara otomatis setiap kali perangkat lunak dijalankan oleh korban.
Muatan kode tambahan yang berhasil diunduh selanjutnya akan memindai keberadaan dua berkas sensitif di dalam direktori penyimpanan data lokal Swarm Desktop, tepatnya file config.yaml serta berkas data-dir/keys/swarm.key. Begitu kedua berkas krusial itu ditemukan, sistem berbahaya akan segera mengirimkannya menuju peladen pengendali yang dikuasai oleh komplotan penyerang.
Secara teknis, berkas swarm.key merupakan tempat penyimpanan kunci dompet Ethereum yang terenkripsi, akan tetapi Swarm Desktop secara ceroboh menyimpan kata sandi pembukanya dalam bentuk teks polos transparan di dalam berkas konfigurasi config.yaml. SafeDep memperingatkan bahwa dengan menguasai kedua berkas tersebut sekaligus, peretas memiliki akses penuh untuk menguras token xDAI dan xBZZ milik dompet node, meraup dana di dalam buku cek digital (chequebook funds), hingga menyita seluruh aset taruhan yang didepositkan (stake).
Selain pencurian aset kripto, payload berbahaya juga menancapkan backdoor ke sistem. Pada sistem operasi Linux dan macOS, malware menyusupkan cangkang kendali jarak jauh (remote shell) berbasis bahasa Go yang dinamai evjawbreaker, yang disembunyikan rapi di dalam folder ~/.solidity. Program jahat ini beroperasi konstan di latar belakang, dipasang sebagai layanan pengguna di Linux dan sebagai LaunchAgent di lingkungan macOS.
Komponen shell ini membaca informasi alamat server komandonya secara dinamis langsung dari kontrak pintar (smart contract) di blockchain Ethereum, memberikan keleluasaan bagi penyerang untuk memperbarui rute peladen kapan saja. Analisis forensik membuktikan bahwa penyerang telah memodifikasi alamat tujuan pada kontrak pintar tersebut sekitar 29 menit sebelum injeksi kode berbahaya bee-js disahkan.
Sementara pada ekosistem Windows, kode berbahaya mengunduh dan memasang perangkat lunak akses jarak jauh resmi ScreenConnect yang ditandatangani secara sah oleh produsen ConnectWise. Aplikasi ini dipasang sebagai layanan sistem (system service) yang secara otomatis tersambung ke peladen relai peretas.
Bila korban memiliki hak administratif, kode akan secara otomatis mengamankan status privilege tinggi dengan mengeksploitasi bypass mekanisme User Account Control (UAC). Jika pengguna bukan admin, malware akan terus menampilkan kotak dialog UAC berulang-ulang sampai pengguna memberikan izin persetujuan. Setelah kendali administrator diperoleh, malware langsung menambahkan folder pengecualian pada sistem proteksi Microsoft Defender lalu menuntaskan instalasi klien ScreenConnect tanpa memicu jendela visual apa pun.
Kronologi Penerbitan Rilis Berbahaya
Kedua muatan berbahaya tersebut berhasil terdistribusi akibat disalahgunakannya akun bee-worker, akun internal yang dimanfaatkan oleh pengelola Ethersphere guna mengotomatisasi seluruh alur kerja rilis. Seluruh modifikasi berbahaya tersebut lolos tanpa tanda tangan kriptografi pengembang dan tanpa melalui tinjauan pengajuan pull request.
Pada kasus pustaka bee-js, penyerang memanfaatkan akses untuk menerbitkan GitHub release versi terbaru, yang secara instan memicu pipa kerja publikasi otomatis ke registri npm. Skema publikasi terintegrasi ini tidak menerapkan sistem persetujuan ganda, sehingga paket berhasil terunggah ke repositori global npm hanya dalam rentang waktu 73 detik, menurut temuan Socket.
Kenyataan bahwa paket dibangun langsung melalui alur kerja otomatisasi resmi proyek menyebabkan paket bee-js berbahaya itu membawa data integritas asal (provenance) yang absah, yakni rekaman resmi yang memverifikasi keterkaitan paket npm dengan repositori serta skrip pembangunan aslinya. Mekanisme provenance sekadar membuktikan di mana suatu paket dibangun, bukan menjadi jaminan apakah susunan kode di dalamnya telah melewati audit verifikasi manusia.
Sementara untuk Swarm Desktop, penyerang memicu eksekusi manual alur kerja pembangunan aplikasi yang memegang sertifikat penandatanganan resmi untuk lingkungan Apple dan Windows tanpa membutuhkan persetujuan manual tim internal. Hasilnya, aplikasi mentah untuk macOS berhasil ditandatangani memakai sertifikat Developer ID sah milik proyek dan lolos proses notarisasi resmi Apple, sehingga sistem proteksi macOS hanya menampilkan peringatan peluncuran pertama biasa saat aplikasi dijalankan, ungkap Socket.
Menyusul terungkapnya celah keamanan kritis ini, para pemelihara proyek telah merombak alur kerja penandatanganan aplikasi agar wajib menunggu izin verifikasi manual dari tim DevOps proyek serta dibatasi hanya boleh dijalankan dari cabang utama repositori (main branch).
Hingga saat informasi ini dipublikasikan, rute awal masuknya penyerang ke dalam sistem manajemen internal proyek masih belum dapat dipastikan. Catatan insiden dari tim pengelola hanya menyimpulkan bahwa insiden dipicu oleh pencurian kredensial CI dan kebocoran rahasia sistem otomatisasi.
Berdasarkan penyelidikan firma keamanan, ditemukan indikasi bahwa komplotan penyerang memanfaatkan setidaknya dua akun GitHub berbeda, mencakup akun layanan otomatisasi bee-worker dan satu akun pribadi milik salah seorang kontributor pemelihara senior. Meski begitu, belum ada laporan yang berhasil mengungkap secara mendalam bagaimana para peretas berhasil mencuri kredensial kedua akun penting tersebut.
Kaitan dengan Kampanye Serangan Sebelumnya
Muatan kode berbahaya yang ditemukan pada insiden ini menunjukkan kesamaan identik dalam penggunaan kontrak pintar Ethereum, titik relai peladen ScreenConnect, hingga konvensi penamaan berkas dengan ekstensi tiruan untuk pengembang Solidity yang sebelumnya pernah beredar di bursa pengaya Open VSX pada September lalu. Rangkaian ekstensi mencurigakan tersebut pernah dibedah tuntas oleh periset Pluto Security dalam laporan analisis bertajuk EtherDuck pada tanggal 1 Oktober.
Pluto Security menghubungkan temuan tersebut “dengan tingkat keyakinan yang tinggi” kepada kelompok peretas yang bertanggung jawab atas peredaran ekstensi SleepyDuck terdahulu, sebuah program jahat yang juga memanfaatkan kontrak pintar Ethereum berbeda guna mengambil alamat peladen komandonya pada tahun 2025. Firma keamanan Socket turut menguatkan temuan ini dan menyimpulkan bahwa kelompok peretas yang sama adalah aktor utama di balik insiden infiltrasi paket bee-js dan Swarm Desktop kali ini.
Indikator Kompromi Sistem
Bagi tim pertahanan keamanan siber dan para pengelola infrastruktur, pemeriksaan menyeluruh dapat dilakukan terhadap catatan aktivitas peladen, riwayat sistem, dan integritas perangkat guna mendeteksi keberadaan indikator kompromi (IoC) terkait.
