원본 영상을 바탕으로 AI의 도움을 받아 작성했습니다. 원본 영상이 기준입니다.
Log in to leave a comment
아직 작성된 글이 없습니다
Tidak ada waktu untuk sekadar melakukan Googling larut malam setelah mendengar kabar tentang insiden keamanan. Pada Mei 2026, ekstensi Visual Studio Code yang berbahaya didistribusikan, menyebabkan mesin developer dibobol dan sekitar 3.800 repository kode sumber internal bocor begitu saja. Dalam situasi seperti ini, menghapus kode secara membabi buta atau memformat ulang laptop hanya akan melenyapkan bukti forensik sehingga penyebabnya tidak akan pernah ditemukan. Mari periksa apakah sistem Anda telah disusupi dengan meneliti log eksekusi package manager, timestamp CLI global, dan hak istimewa proses yang sedang berjalan.
Package manager meninggalkan catatan transaksi dalam direktori cache sistem selama proses instalasi. npm mengeluarkan debug log ke dalam folder _logs di dalam jalur npm config get cache, sementara pnpm membuang artefak di pnpm store path. Paket berbahaya mencuri variabel lingkungan atau kredensial ke luar melalui skrip yang dieksekusi pada saat instalasi, jadi Anda harus memeriksa riwayat eksekusi siklus hidup terlebih dahulu.
Berikut adalah perintah untuk menelusuri log 14 hari terakhir guna mendeteksi penambahan paket ilegal atau eksekusi skrip eksternal. Nyalakan terminal Anda dan ketik perintah berikut apa adanya:
`bash
NPM_CACHE_DIR=$(npm config get cache)
find $NPM_CACHE_DIR/_logs/ -type f -mtime -14 -exec grep -Hn "lifecycle" {} +
`
Periksa pada layar hasil apakah hook preinstall atau postinstall yang tidak pernah Anda maksudkan telah berjalan. Ini selesai dalam 3 menit. Jika tidak ada catatan komunikasi URL eksternal yang mencurigakan, Anda dapat bernapas lega untuk sementara waktu dari ketakutan kontaminasi langsung di level paket.
Penyerang menyembunyikan diri di dalam laptop dan menanamkan binari berbahaya ke dalam tools CLI global atau cache npx. Buat daftar paket yang diinstal secara global dan verifikasi integritasnya dengan mencocokkan tanggal pembuatan serta modifikasi file folder biner dengan log sistem.
`bash
npm list -g --depth=0 --json
ls -lact $(npm config get prefix)/bin/
`
Jika waktu modifikasi bertumpang tindih dengan zona waktu yang tidak wajar, ekstrak nilai hash menggunakan perintah berikut untuk membandingkannya.
`bash
shasum -a 256 $(npm config get prefix)/bin/
`
Skrip instalasi paket berjalan dengan hak istimewa akun developer Anda apa adanya. Anda harus memutuskan proses daemon yang berjalan di latar belakang.
`bash
ps aux | grep -E "node|npm|pnpm|bun" | grep -v grep
lsof -i -P -n | grep -E "node|npm|pnpm"
`
Jika proses yang mencurigakan berkomunikasi dengan server C2 eksternal, tangkap dan matikan sekarang juga.
`bash
kill -9 [PID]
npm config set ignore-scripts true
`
Pola umum dari serangan rantai pasokan adalah mengotak-atik file konfigurasi untuk membajak registry. Penyerang menyematkan alamat server mirror berbahaya ke dalam file .npmrc di dalam proyek atau konfigurasi global. Karena mereka mengubah jalur URL unduhan di dalam file lock sehingga Anda menerima tarball berbahaya saat instalasi aktual, Anda harus memeriksa semua nilai konfigurasi secara menyeluruh.
Prosedur untuk memverifikasi apakah penimpaan (override) yang tidak sah tertanam dalam konfigurasi lokal dan global adalah sebagai berikut. Pertama, tarik daftar pengikatan konfigurasi.
`bash
npm config list
pnpm config list
`
Selanjutnya, konfirmasikan apakah scope registry privat perusahaan diatur dengan benar.
`bash
npm config get @company:registry
`
Cari juga secara langsung apakah alamat mirror eksternal di-hardcode di dalam file konfigurasi root proyek dan home pengguna.
`bash
grep -Rn "registry" ~/.npmrc ./.npmrc
`
Melalui ketiga langkah ini, Anda dapat menentukan dalam waktu 5 menit apakah alamat mirror yang aneh telah terdaftar.
Karena file package-lock.json dan pnpm-lock.yaml mencatat URL sumber unduhan dependensi, Anda harus memeriksa kontaminasinya menggunakan regular expression.
`bash
grep -E '"resolved": "https?://' package-lock.json | grep -vE 'registry.npmjs.org|registry.corp.example'
`
Jika Anda menggunakan pnpm, masukkan perintah berikut.
`bash
grep -E 'resolution: {tarball:' pnpm-lock.yaml | grep -vE 'registry.npmjs.org|registry.corp.example'
`
Jika file lock yang terkontaminasi ditemukan, Anda harus menghapus semuanya dan menyusun ulang.
`bash
rm -rf node_modules package-lock.json pnpm-lock.yaml
npm cache clean --force
pnpm store prune
npm config set registry https://registry.npmjs.org/
npm ci --ignore-scripts
`
Dengan mengabaikan eksekusi skrip siklus hidup dan merekonstruksi pohon dependensi dalam keadaan tidak berubah (immutable), Anda dapat mengamankan lingkungan dalam keadaan murni.
Binari berbahaya mencuri penyimpanan kata sandi browser di lingkungan Linux dan Mac, serta menyapu bersih kunci API AI, AWS Access Key, dan kunci SSH yang tertanam dalam variabel lingkungan. Anda harus segera memeriksa apakah kredensial telah terekspos di lingkungan terminal.
`bash
ls -la ~/.ssh/
env | grep -E 'TOKEN|KEY|SECRET|AUTH|AWS|GITHUB|OPENAI|ANTHROPIC'
grep -E '(ghp_[A-Za-z0-9]{36}|AKIA[0-9A-Z]{16}|bearer)' ~/.zsh_history ~/.bash_history
`
Jika kunci yang terekspos dalam teks biasa (plaintext) muncul, jangan diabaikan dan segera cabut (revocation). Periksa juga scope token yang masuk melalui GitHub CLI.
`bash
gh auth status
`
Buang segera Token Klasik yang memiliki akses ke semua repository. Saat membuat PAT baru, tentukan hanya repository tertentu dan batasi hak akses baca (read) ke rentang minimal.
Untuk mengisolasi localhost dan proses pengembangan, Anda harus menggunakan struktur DevContainer. Buat file .devcontainer/devcontainer.json di root proyek dan konfigurasikan image seperti di bawah ini.
`json
{
"image": "mcr.microsoft.com/devcontainers/javascript-node:22",
"postCreateCommand": "npm ci --ignore-scripts"
}
`
Jika Anda menjalankan container seperti ini, instalasi paket dan build akan berjalan dalam kondisi yang sepenuhnya terisolasi dari kredensial sistem host laptop Anda, sehingga jalur kebocoran aset internal dapat dicegah sejak awal.
