Gelombang Serangan Supply Chain 2026: Worm Miasma dan Shai-Hulud Hantam npm, PyPI, hingga GitHub

Serangan rantai pasok perangkat lunak atau supply chain attack menjadi ancaman keamanan siber paling serius sepanjang 2026. Dalam beberapa pekan terakhir, dunia maya diguncang oleh gelombang serangan bertubi-tubi yang menargetkan ekosistem open source global — dari npm, PyPI, hingga GitHub Actions. Dua nama besar mendominasi berita: Miasma Worm dan kampanye Mini Shai-Hulud. Keduanya telah menginfeksi ribuan paket dan mencemari rantai pasok pengembangan perangkat lunak di seluruh dunia, termasuk ekosistem digital Indonesia.

Apa Itu Supply Chain Attack dan Mengapa Berbahaya?

Supply chain attack adalah serangan yang menyusupkan kode berbahaya ke dalam komponen perangkat lunak yang sah — seperti pustaka npm, paket PyPI, atau modul RubyGems — yang kemudian diunduh dan digunakan oleh ribuan aplikasi hilir. Ketika seorang developer memasang paket yang telah terkompromi, malware secara otomatis menyebar ke sistem pengembangan, server CI/CD, hingga lingkungan produksi.

Di Indonesia, ketergantungan terhadap pustaka open source sangat tinggi. Data dari laporan keamanan siber 2026 menunjukkan bahwa lebih dari 80% aplikasi enterprise di Indonesia menggunakan komponen open source tanpa pemindaian keamanan yang memadai. Gap inilah yang menjadi sasaran empuk para penyerang.

"Serangan supply chain tidak lagi hanya menargetkan korporasi besar. Dengan menginfeksi satu paket populer di npm atau PyPI, penyerang bisa menjangkau jutaan pengguna di seluruh dunia dalam hitungan jam," — laporan Microsoft Secure Future Initiative, Juli 2026.

Worm Miasma: Malware yang Bereplikasi Otomatis Lewat npm dan GitHub Actions

Miasma bukan sekadar malware biasa. Dijuluki "worm" karena kemampuannya bereplikasi secara mandiri, Miasma memanfaatkan celah pada GitHub Actions dan mekanisme dependency confusion di npm. Ketika pertama kali terdeteksi oleh tim StepSecurity pada pertengahan 2026, Miasma telah menginfeksi lebih dari 73 repositori GitHub milik Microsoft dan perusahaan teknologi besar lainnya.

Cara kerja Miasma cukup canggih:

# Contoh mekanisme Miasma — typosquatting dan dependency confusion
# Paket asli: @asyncapi/generator
# Paket tiruan: @asyncapi-generator (dipublikasikan penyerang)

# Malware di binding.gyp menjalankan script postinstall:
"scripts": {
  "postinstall": "node -e \"require('./evil.js')\""
}

Malware ini menyusup melalui paket npm yang tampak sah, lalu memodifikasi file binding.gyp dan .github/workflows/ untuk menyebarkan diri ke repositori lain. Dalam waktu singkat, Miasma membentuk botnet terdistribusi yang mencuri kredensial CI/CD, token akses, dan environment variable dari ribuan pipeline pengembangan.

Mini Shai-Hulud: Kampanye Terkoordinasi Berskala Massif

Tidak berhenti pada Miasma, gelombang serangan kedua datang dari kelompok TeamPCP yang meluncurkan kampanye Mini Shai-Hulud — dinamai dari cacing raksasa dalam novel fiksi ilmiah Dune. Kampanye ini menginfeksi lebih dari 100 paket npm dan PyPI dalam waktu 48 jam, termasuk paket populer milik TanStack, AntV, hingga Red Hat.

Yang membuat Shai-Hulud lebih berbahaya adalah kemampuannya menyamar sebagai typosquatting package — nama paket yang sengaja dibuat mirip dengan nama paket asli untuk mengelabui developer yang tidak teliti.

# Contoh package typosquatting yang terdeteksi:
# Asli: @antv/g6  →  Palsu: @antv-g6
# Asli: react-router  →  Palsu: react-routeer
# Asli: lodash  →  Palsu: lodashs

Kelompok TeamPCP juga memanfaatkan repositori GitHub yang sudah terkompromi — disebut kampanye Atomic Arch — untuk menyusupkan malware ke dalam lebih dari 400 paket Arch User Repository (AUR) dan 5.500 repositori GitHub dalam satu serangan terkoordinasi.

Dampak terhadap Ekosistem Developer Indonesia

Indonesia tidak kebal terhadap gelombang serangan ini. Sebagai salah satu pasar teknologi dengan pertumbuhan tercepat di Asia Tenggara, banyak startup dan perusahaan digital Indonesia yang menggunakan secara ekstensif pustaka npm dan PyPI yang menjadi target serangan.

Beberapa dampak langsung yang perlu diwaspadai:

• Kebocoran kredensial cloud — Token AWS, Google Cloud, dan Azure yang disimpan di pipeline CI/CD berpotensi dicuri oleh Miasma.
• Kontaminasi aplikasi produksi — Paket yang terinfeksi di lingkungan staging bisa naik ke produksi tanpa terdeteksi.
• Rantai pasok aplikasi mobile — Banyak aplikasi Android/iOS buatan developer Indonesia menggunakan pustaka JavaScript dan Python yang tercemar.
• Kerugian finansial dan reputasi — Biaya pemulihan pasca-serangan supply chain bisa mencapai miliaran rupiah per organisasi.

Langkah Mitigasi untuk Developer dan Enterprise

Menghadapi ancaman ini, organisasi di Indonesia perlu segera mengadopsi praktik software supply chain security yang lebih ketat:

# 1. Aktifkan npm audit dan GitHub Dependabot secara kontinu
npm audit --audit-level=high

# 2. Gunakan Software Bill of Materials (SBOM)
syft paket-ku.json -o spdx-json > sbom.json

# 3. Verifikasi integritas paket dengan provenance
npm install --provenance

# 4. Gunakan registry mirror dengan pemindaian
# Contoh: GitHub Packages sebagai registry internal
npm config set registry https://npm.pkg.github.com/

Selain itu, penerapan kebijakan zero-trust untuk pipeline CI/CD menjadi krusial. Setiap perubahan pada file workflow, script build, dan dependensi harus melalui proses review dan verifikasi tanda tangan digital. Platform seperti GitHub kini mewajibkan 2FA dan provenance untuk publikasi paket npm sebagai respons terhadap gelombang serangan ini.

BSSN dan Kominfo juga diharapkan segera menerbitkan panduan khusus tentang software supply chain security untuk pelaku industri TI di Indonesia, mengingat tingkat ketergantungan yang tinggi terhadap komponen open source dari luar negeri.

Kesimpulan

Serangan supply chain Miasma dan Shai-Hulud menjadi wake-up call bagi seluruh ekosistem pengembangan perangkat lunak global. Tidak ada organisasi yang kebal — dari startup kecil hingga raksasa teknologi seperti Microsoft dan Red Hat menjadi korban. Bagi Indonesia, momentum ini harus dimanfaatkan untuk membangun budaya keamanan rantai pasok yang lebih matang, dimulai dari audit dependensi, penerapan SBOM, hingga pengembangan registry lokal yang terverifikasi.