Solana.web.id – Waspada typosquat! Proyek API Solana Python yang sah dikenal sebagai “solana-py” di GitHub, tetapi hanya “solana” di PyPI, repositori perangkat lunak Python. Perbedaan nama kecil ini telah dimanfaatkan oleh pelaku kejahatan untuk menerbitkan proyek “solana-py” palsu di PyPI. Proyek ini tidak hanya meniru sebagian kode asli, tetapi juga diam-diam mencuri rahasia Anda, menjadikannya typosquat yang berbahaya.
Solana atau solana-py?
Tim Riset Keamanan Sonatype melacak dan menganalisis paket “solana-py” yang mencurigakan yang muncul di PyPI. Paket tersebut ditandai oleh sistem deteksi malware otomatis kami. Analis keamanan Carlos Fernandez menemukan beberapa poin penting:
- Mirip Aslinya, Tapi Berbahaya: Meskipun terlihat asli sekilas dan memiliki nama yang sama dengan proyek GitHub yang sah (“solana-py”), typosquat ini tetap meyakinkan dan bermasalah.
- Dokumentasi Menyesatkan: Pustaka lain seperti “solders” merujuk ke “solana-py” dalam dokumentasi PyPI mereka, sehingga pengembang berpotensi salah mengunduh “solana-py” palsu.
- Versi Palsu Lebih Tinggi? Versi terbaru proyek asli “solana” adalah 0.34.3, sedangkan “solana-py” palsu menampilkan versi 0.34.5, seolah-olah ini versi yang lebih baru.
- Pengembang Berbeda: Pemelihara proyek palsu adalah “treefinder”, sedangkan yang asli adalah “michaelhly”.
- Kode Palsu Berubah: Tidak ada perubahan kode terbaru pada file “init.py” proyek asli di GitHub, sementara file serupa di proyek palsu telah dimodifikasi.
Mencuri Rahasia dengan Hugging Face Spaces
File “init.py” pada proyek palsu mengimpor pustaka “solana.exceptions”. Ini mungkin luput dari pengecekan pengembang dan analis, karena terlihat seperti pustaka penanganan kesalahan biasa. Namun, file “exceptions.py” yang terhubung, mengungkapkan niat jahat pembuat paket.
Terdapat panggilan jaringan tersembunyi dalam kode ke URL berikut (telah dinonaktifkan untuk keamanan):
hxxps://treeprime-gen.hf[.]space/image?s=…
Subdomain URL *.hf.space yang dibuat oleh penerbit paket “treeprime” ini tampaknya merupakan API tempat data yang dikumpulkan dari sistem dikirim.
Domain *.hf.space ditawarkan oleh Hugging Face, platform pengembangan AI dan komunitas yang memungkinkan pembuat untuk menghosting “ruang” mereka di subdomain ini. Sebelumnya, kami pernah melaporkan bagaimana Hugging Face juga menarik perhatian penyerang yang ingin mengeksploitasi platform untuk menyebarkan model AI/ML jahat.
Versi Sebelumnya Menyingkapkan Tujuan
Versi sebelumnya (0.34.3) dari “solana-py” palsu menunjukkan kemungkinan alasan panggilan jaringan ini. Pada versi tersebut, file “init.py” sendiri melakukan panggilan ke subdomain *.hf.space milik pelaku kejahatan.
Fernandez menjelaskan bahwa ini adalah upaya penerbit paket untuk mengganti fungsi kunci yang digunakan oleh pustaka “solders”, dan untuk mencuri rahasia seperti kunci dompet blockchain Solana dari sistem.
“Metode solders.keypair.Keypair.__init__ diganti oleh fungsi new_method() penyerang, yang mencoba untuk mengekstraksi nilai self.to_bytes_array ke domain jahat,” kata Fernandez.
“Byte tersebut digunakan oleh solders untuk memanggil Solana Core SDK. Dengan akses tersebut, penyerang dapat mencuri dompet blockchain Solana.”
Dampak Berantai
Dengan kata lain, jika pengembang yang menggunakan paket “solders” asli di PyPI dalam aplikasi mereka tertipu (oleh dokumentasi soldiers) untuk menggunakan proyek “solana-py” palsu, mereka secara tidak sengaja memasukkan pencuri kripto ke dalam aplikasi mereka. Ini tidak hanya akan mencuri rahasia mereka, tetapi juga rahasia pengguna yang menjalankan aplikasi tersebut.
Pertahanan: Sonatype Repository Firewall
Ini bukan pertama kalinya trik seperti ini dilakukan, tetapi ini menjadi pengingat penting tentang taktik yang terus berkembang dari pelaku kejahatan dan komitmen mereka untuk mengeksploitasi ekosistem open source untuk tujuan jahat. Kasus ini menyoroti kebutuhan mendesak akan langkah-langkah keamanan rantai pasokan yang lebih baik dan kewaspadaan yang lebih tinggi dalam memantau registri perangkat lunak pihak ketiga.
Pengembang dan organisasi harus memprioritaskan keamanan di setiap tahap proses pengembangan untuk mengurangi risiko yang terkait dengan ketergantungan pihak ketiga.
Dampak bagi Pengembang dan Pengguna
Jika pengembang tidak berhati-hati dan mengunduh paket “solana-py” palsu, maka aplikasi yang mereka kembangkan akan terkontaminasi dengan kode berbahaya. Akibatnya:
- Pencurian Kunci Kripto: Kunci dompet Solana milik pengembang dan pengguna aplikasi dapat dicuri dan disalahgunakan oleh pelaku kejahatan untuk melakukan transaksi tanpa izin.
- Kerugian Finansial: Pencurian aset kripto dapat mengakibatkan kerugian finansial yang besar bagi korban.
- Kerusakan Reputasi: Jika aplikasi yang terinfeksi digunakan oleh banyak pengguna, maka pengembang dapat mengalami kerusakan reputasi dan kehilangan kepercayaan pengguna.
- Pintu Masuk untuk Serangan Lebih Lanjut: Paket palsu ini dapat menjadi pintu masuk bagi pelaku kejahatan untuk melakukan serangan siber lainnya, seperti malware atau ransomware.
Mencegah Serangan Typosquat
Untuk melindungi diri dari serangan typosquat seperti ini, berikut adalah beberapa langkah yang dapat diambil:
- Verifikasi Sumber: Selalu verifikasi keaslian paket yang akan diunduh dengan memeriksa repositori resmi dan dokumentasi proyek.
- Perhatikan Detail Kecil: Perhatikan perbedaan kecil pada nama paket, versi, pengembang, dan tanggal rilis.
- Gunakan Alat Pemindaian: Gunakan alat pemindaian kerentanan untuk memeriksa paket yang akan digunakan, seperti Sonatype Repository Firewall.
- Perbarui Perangkat Lunak Secara Berkala: Selalu perbarui perangkat lunak dan dependensi ke versi terbaru untuk mendapatkan tambalan keamanan terbaru.
- Tingkatkan Kesadaran: Tingkatkan kesadaran tentang ancaman keamanan siber di kalangan pengembang dan pengguna.
Peran Sonatype Repository Firewall
Sonatype Repository Firewall adalah alat yang sangat berguna untuk mencegah serangan seperti ini. Alat ini secara otomatis memindai repositori paket dan memblokir paket berbahaya sebelum mencapai lingkungan pengembangan. Dengan menggunakan alat ini, organisasi dapat mengurangi risiko serangan rantai pasok perangkat lunak.
Kesimpulan
Kasus “solana-py” palsu ini menjadi pengingat penting bagi kita semua tentang pentingnya keamanan siber dalam pengembangan perangkat lunak. Pelaku kejahatan terus mengembangkan taktik baru untuk mengeksploitasi kerentanan dalam ekosistem perangkat lunak open source. Dengan meningkatkan kewaspadaan dan menggunakan alat keamanan yang tepat, kita dapat melindungi diri dari ancaman ini.(*)
