Virus komputer (worm) yang bisa menyebar sendiri bernama Shai-Hulud kembali muncul dengan versi yang lebih agresif, disebut “Shai-Hulud 2.0” atau “The Second Coming”.
Versi terbaru ini menyerang ekosistem npm, yaitu tempat penyimpanan paket kode yang menjadi tulang punggung banyak aplikasi web dan sistem perusahaan modern. Serangan ini sudah menginfeksi lebih dari 700 paket dan membocorkan kredensial (data akses rahasia) di lebih dari 25.000 repository GitHub. Penyebarannya sangat cepat, bahkan dilaporkan ada sekitar 1.000 repository baru yang terdeteksi terinfeksi setiap 30 menit.
Worm ini mencuri kredensial cloud seperti AWS, GCP, Azure, serta GitHub Personal Access Token (PAT). Hal ini menunjukkan bahwa Shai-Hulud hanyalah salah satu dari gelombang serangan rantai pasok (supply chain attack) yang semakin meningkat.
Menurut Gartner, pada tahun 2026 nanti, 45% organisasi akan mengalami serangan pada rantai pasok perangkat lunak mereka. Angka ini tiga kali lebih banyak dibandingkan tahun 2021. Artinya, metode keamanan tradisional seperti sekadar melakukan patching (update perbaikan) sudah tidak lagi cukup.
Jika bisnis Anda bergantung pada software open-source, maka area yang bisa diserang tidak lagi hanya sistem internal, tetapi juga meluas ke luar kendali langsung Anda.
Supply Chain Menjadi Medan Pertempuran Baru
Saat ini, 94% aplikasi menggunakan komponen open-source. Selain itu, 84% perusahaan mengalami serangan rantai pasok dalam satu tahun terakhir.
Serangan seperti ini bisa menyebar cepat karena pengembangan software modern bergantung pada registry publik seperti npm dan sistem otomatis CI/CD (Continuous Integration / Continuous Deployment). Jika satu paket yang digunakan ternyata terinfeksi, dampaknya bisa menyebar ke ribuan organisasi sekaligus.
Risiko sekarang tidak hanya soal memperbarui sistem internal. Risiko mencakup:
-
Laptop developer
-
Library kode
-
API
-
Pipeline CI/CD
-
Layanan pihak ketiga
-
Mitra dalam rantai pengembangan
Shai-Hulud 2.0 membuat ancaman ini semakin berbahaya dengan teknik baru yang lebih canggih.
Perubahan Cara Serangan Dilakukan
Versi lama hanya menyerang lewat skrip “postinstall” (yang berjalan setelah instalasi paket). Versi baru bisa berjalan melalui fungsi dan library utama yang memang digunakan aplikasi. Ini membuatnya lebih sulit dideteksi dan lebih tahan lama (persisten).
Artinya, pendekatan keamanan modern seperti CTEM (Continuous Threat Exposure Management) tidak bisa lagi dilakukan hanya dengan pemindaian berkala. Harus ada pemantauan dan respons secara real-time dan terus-menerus.
Pentingnya Inventaris Software yang Lengkap
Tidak cukup hanya mengetahui daftar perangkat (asset inventory). Perusahaan juga harus memiliki inventaris software lengkap, termasuk:
-
SBOM (Software Bill of Materials)
-
Metadata pipeline CI/CD
Dengan begitu, perusahaan bisa tahu paket mana yang digunakan dan kapan mulai digunakan.
CI/CD Runner dan laptop developer kini harus dianggap sebagai aset berisiko tinggi, karena menjadi target utama untuk mempertahankan akses dan menyebarkan infeksi.
Peringatan Dini Sangat Penting
Ancaman seperti Shai-Hulud menyebar dalam hitungan jam, bukan bulan. Maka sistem peringatan dini real-time sangat krusial.
Solusi seperti Armis menggabungkan berbagai data keamanan untuk mendeteksi ancaman sejak tahap awal serangan, sebelum dampaknya meluas.
Fokus pada Risiko yang Paling Penting
Dalam serangan rantai pasok, tidak mungkin memperbaiki semua celah sekaligus. CTEM membantu perusahaan fokus pada:
-
Sistem yang terhubung ke data sensitif
-
Pipeline developer
-
Sistem yang terbuka ke publik
Dengan visibilitas yang jelas, analis keamanan bisa memahami dampak dan memperbaiki masalah seperti Shai-Hulud atau kerentanan besar lain seperti Log4Shell dengan lebih cepat dan sederhana.
Pelajaran Penting dari Shai-Hulud
Beberapa fakta keras yang harus dipahami:
-
Targetnya adalah akses jangka panjang
Worm ini mendaftarkan mesin yang terinfeksi sebagai GitHub Actions runner dan menambahkan file berbahaya agar bisa terus menjalankan kode jarak jauh. -
Ketergantungan bertingkat bisa jadi senjata
Satu library kecil, bahkan yang tampak sepele, bisa membuka jalan bagi kompromi besar. -
Keamanan aplikasi harus dimulai lebih awal
Jika sistem keamanan tidak bisa mendeteksi paket berbahaya sebelum dijalankan, maka perusahaan sudah dalam risiko. -
Penyerang semakin agresif
Malware ini bahkan mencoba menghapus folder utama korban jika gagal menyebar.
Langkah Mitigasi Proaktif
Organisasi harus bergerak lebih dari sekadar patching reaktif dengan cara:
-
Membuat inventaris aset dan aplikasi yang selalu diperbarui.
-
Menghubungkan kerentanan dengan aset bisnis yang penting.
-
Memperluas CTEM ke pihak ketiga, API, dan cloud.
-
Menggunakan sistem Early Warning.
Mandat Keamanan Penting
-
Cabut dan buat ulang semua token npm, GitHub PAT, SSH key, dan kredensial cloud yang mungkin terdampak sejak 21 November 2025.
-
Terapkan MFA yang tahan phishing untuk semua akun developer dan CI/CD.
-
Batasi atau nonaktifkan skrip preinstall dan postinstall di lingkungan CI/CD.
-
Audit repository untuk file mencurigakan seperti .github/workflows/discussion.yaml.
Tindakan Segera
-
Cari repository baru dengan nama “Shai-Hulud”.
-
Periksa workflow CI/CD yang mencurigakan.
-
Hentikan sementara publikasi npm otomatis.
-
Periksa semua paket yang diunduh bulan November.
-
Bersihkan cache npm dan folder node_modules.
Pantau juga file berbahaya seperti:
-
setup_bun.js
-
bun_environment.js
-
cloud.json
-
environment.json
Selain itu, waspadai:
-
Penggunaan runtime “Bun” yang tidak biasa.
-
Upaya eskalasi hak akses seperti Docker privilege escalation.
Kesimpulan
Keamanan siber saat ini bukan hanya masalah aplikasi, endpoint, atau OT saja — semuanya saling terhubung.
Perusahaan yang masih memisahkan keamanan aplikasi (AppSec), cloud, IT, dan OT akan tertinggal. Masa depan membutuhkan pendekatan terpadu dalam satu platform yang bisa melihat seluruh aset, hubungan antar sistem, dan jalur serangan.
Shai-Hulud mungkin bukan serangan rantai pasok paling canggih, tetapi ini adalah awal dari gelombang malware yang lebih cepat, lebih otomatis, dan lebih cerdas.
Melindungi perusahaan hari ini berarti melindungi seluruh ekosistem digital yang terhubung dengannya.
Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan armis indonesia, merupakan bagian dari PT. iLogo Indonesia, yang merupakan mitra terpercaya dalam solusi Infrastruktur IT dan Cybersecurity terbaik di Indonesia.
Hubungi kami sekarang atau kunjungi armis.ilogoindonesia.com untuk informasi lebih lanjut!