ItWorks- Para ahli Kaspersky GReAT (Tim Riset dan Analisis Global) telah menemukan paket sumber terbuka yang mengunduh backdoor Quasar dan sebuah program stealer (pencuri) yang dirancang untuk mencuri aset kripto. Paket berbahaya ini ditujukan untuk ekosistem pengembangan Cursor, yang berbasis Visual Studio Code-sebuah alat yang digunakan untuk pengkodean berbasis AI.
Paket sumber terbuka berbahaya ini merupakan ekstensi yang dihosting di repositori Open VSX yang mengklaim menyediakan dukungan untuk bahasa pemrograman Solidity. Namun, dalam praktiknya, paket-paket ini mengunduh dan mengeksekusi kode berbahaya di perangkat pengguna.
“Mendeteksi paket sumber terbuka yang disusupi dengan mata telanjang menjadi semakin sulit. Aktor ancaman menggunakan taktik yang semakin kreatif untuk menipu calon korban, bahkan pengembang yang memiliki pemahaman kuat tentang risiko keamanan siber. Terutama mereka yang bekerja di bidang pengembangan blockchain. Kami memperkirakan penyerang akan terus menargetkan pengembang, disarankan agar bahkan profesional TI yang berpengalaman pun menerapkan solusi keamanan khusus untuk melindungi data sensitif dan mencegah kerugian finansial,” komentar Georgy Kucherin, Peneliti Keamanan di Tim Riset dan Analisis Global Kaspersky dilansir dalam rilis pers (14/07/2025), di Jakarta.
Dijelaskan, dalam respons insiden, seorang pengembang blockchain dari Rusia menghubungi Kaspersky setelah memasang salah satu ekstensi palsu ini di komputernya, yang memungkinkan penyerang mencuri aset kripto senilai sekitar $500.000.
Pelaku ancaman di balik paket-paket ini berhasil menipu pengembang dengan membuat peringkat paket berbahaya lebih tinggi daripada paket asli. Penyerang mencapai hal ini dengan meningkatkan jumlah unduhan paket berbahaya secara artifisial menjadi 54.000.
Setelah instalasi, korban tidak mendapatkan fungsionalitas apa pun dari ekstensi tersebut. Sebaliknya, perangkat lunak ScreenConnect yang berbahaya diinstal di komputer, yang memberikan akses jarak jauh kepada pelaku kejahatan siber ke perangkat yang terinfeksi. Dengan akses ini, mereka menyebarkan backdoor Quasar sumber terbuka beserta stealer yang mengumpulkan data dari peramban, email klien dan dompet kripto. Dengan alat-alat ini, pelaku kejahatan siber berhasil mendapatkan frasa awal dompet pengembang dan kemudian mencuri aset kripto dari akun-akun tersebut.
Setelah ekstensi berbahaya yang diunduh oleh pengembang ditemukan dan dihapus dari repositori, pelaku kejahatan siber menerbitkannya kembali dan secara artifisial meningkatkan jumlah instalasinya ke angka yang lebih tinggi – 2 juta, dibandingkan dengan 61.000 untuk paket yang sah. Kaspersky telah melaporkan bahwa ekstensi ini akan dihapus dari platform.
Aktor ancaman di balik serangan ini tidak hanya menerbitkan ekstensi Solidity yang berbahaya tetapi juga paket NPM lain, solsafe, yang juga mengunduh ScreenConnect. Beberapa bulan sebelumnya, tiga ekstensi Visual Studio Code berbahaya lainnya telah dirilis — solaibot, among-eth, dan blankebesxstnion — semuanya telah dihapus dari repositori.
Demi keamanan, Kaspersky merekomendasikan untuk menggunakan solusi untuk memantau komponen sumber terbuka yang digunakan guna mendeteksi ancaman yang mungkin tersembunyi di dalamnya. Jika menduga pelaku ancaman telah mengakses infrastruktur perusahaan Anda, disarankan untuk menggunakan layanan It security assesment terpercaya untuk mengungkap serangan yang telah terjadi atau yang sedang berlangsung.
Verifikasi pengelola paket: periksa kredibilitas pengelola atau organisasi di balik paket tersebut. Cari riwayat dengan versi yang konsisten, dokumentasi, dan pelacak masalah yang aktif. Semakin dini Anda mengetahui ancaman, semakin cepat Anda dapat merespons.
