Sebuah paket self-spreading yang dirilis di npm diketahui membanjiri registri dengan spam, menciptakan paket baru setiap tujuh detik dan menghasilkan jumlah sampah digital yang sangat besar.
Worm ini diberi nama “IndonesianFoods” karena pola penamaannya yang menggunakan istilah serta nama makanan Indonesia secara acak. Menurut Sonatype, lebih dari 100.000 paket telah diterbitkan, dan jumlah tersebut terus meningkat secara eksponensial.
Meski paket ini belum menampilkan perilaku berbahaya - seperti pencurian data atau pemasangan backdoor - para pakar mengingatkan bahwa ancaman dapat berubah sewaktu-waktu jika pembuatnya menambahkan payload berbahaya di pembaruan berikutnya.
Skala otomatisasi dan intensitas serangan ini memunculkan risiko kompromi supply-chain yang luas.
Peneliti keamanan Paul McCarty, orang pertama yang melaporkan aktivitas spam tersebut, bahkan membuat halaman khusus untuk memantau akun npm yang melanggar serta jumlah paket yang mereka rilis.
Sonatype juga mencatat upaya serupa pada 10 September, melalui paket bernama “fajar-donat9-breki.” Paket ini memuat logika replikasi yang sama, namun serangannya gagal berkembang.
“Serangan ini telah membebani banyak sistem data keamanan, menunjukkan skala yang belum pernah terjadi sebelumnya,” ujar peneliti keamanan senior Sonatype, Garret Calpouzos, kepada BleepingComputer. Ia menambahkan bahwa Amazon Inspector menandai paket-paket tersebut melalui OSV, memicu lonjakan besar laporan kerentanan. Basis data Sonatype bahkan menerima 72.000 laporan baru dalam satu hari.
Menurut Calpouzos, tujuan IndonesianFoods tampaknya bukan menyerang mesin pengembang secara langsung, melainkan mengganggu ekosistem dan supply-chain perangkat lunak open-source terbesar di dunia. “Motivasinya tidak jelas, namun implikasinya sangat mencolok,” ujarnya.
Laporan lain dari Endor Labs menyebutkan bahwa beberapa paket tampak menyalahgunakan Protokol TEA, sebuah sistem blockchain yang memberi imbalan token bagi kontributor OSS. Banyak paket IndonesianFoods berisi file tea.yaml berisi daftar akun dan alamat dompet TEA. Dengan menerbitkan ribuan paket yang saling terkait, pelaku meningkatkan skor dampaknya untuk memperoleh lebih banyak token - mengindikasikan adanya motif finansial.
Endor Labs juga mengungkap bahwa kampanye ini ternyata sudah berlangsung sejak dua tahun lalu: sekitar 43.000 paket muncul pada 2023, mekanisme monetisasi TEA dimanfaatkan pada 2024, dan loop replikasi mirip worm mulai diterapkan pada 2025.
Serangan IndonesianFoods muncul di tengah rangkaian insiden supply-chain otomatis lainnya di ekosistem open-source, seperti serangan GlassWorm di OpenVSX, worm Shai-Hulud yang memanfaatkan teknik dependency confusion, serta pembajakan paket populer seperti chalk dan debug.
Walaupun tiap insiden berdiri sendiri dengan dampak terbatas, keseluruhannya menunjukkan tren baru: para penyerang kini memanfaatkan otomatisasi dan skalabilitas untuk menguasai ekosistem open-source.
Sonatype memperingatkan bahwa kampanye otomatis yang sederhana namun masif seperti ini dapat membuka jalan bagi penyisipan malware yang jauh lebih berbahaya di masa depan.
Pengembang perangkat lunak pun disarankan untuk mengunci versi dependency, memantau pola publikasi paket yang tidak lazim, dan menerapkan kebijakan verifikasi tanda tangan digital yang ketat.
