Developer Jadi Target, Hacker Korea Utara Sebar Malware di GitHub
PASUNDANEKSPRES.ID – Sebuah operasi pencurian data global berskala besar baru-baru ini terungkap dengan metode yang tergolong canggih dan terselubung. Sejumlah peneliti keamanan siber menemukan malware bernama Omnistealer yang menargetkan para developer serta pekerja lepas melalui modus tawaran pekerjaan palsu di LinkedIn dan GitHub.
Serangan ini dinilai memiliki potensi dampak yang sebanding dengan insiden siber besar seperti WannaCry.
Yang membedakan, Omnistealer memanfaatkan teknologi blockchain publik bukan hanya sebagai sarana transaksi, tetapi juga sebagai bagian dari mekanisme distribusi kode berbahaya.
Menurut Nick Smart, Chief Intelligence Officer di Crystal Intelligence, struktur Omnistealer terlihat sederhana untuk dijalankan, namun memiliki kompleksitas teknis yang tinggi. Pada tahap awal, korban diarahkan untuk menjalankan potongan kode yang tampak normal, sebagaimana dikutip PASUNDAN EKSPRES dari Techspot, Kamis (2/4/2026).
Kode tersebut kemudian akan terhubung ke blockchain TRON atau Aptos untuk membaca data tersembunyi, sebelum akhirnya mengarah ke Binance Smart Chain guna mengambil payload berbahaya tahap akhir.
Setelah payload tersebut dieksekusi, malware akan mulai menguras hampir seluruh data dalam perangkat korban. Berdasarkan temuan tim Ransom-ISAC, Omnistealer mampu menargetkan lebih dari 60 ekstensi dompet kripto, termasuk MetaMask dan Coinbase.
Tidak hanya itu, malware ini juga membidik lebih dari 10 layanan pengelola kata sandi, berbagai browser populer seperti Chrome dan Firefox, serta layanan penyimpanan awan seperti Google Drive.
Sejauh ini, penyelidik mengidentifikasi sekitar 300.000 kredensial yang berhasil dicuri dari operasi tersebut. Data yang bocor mencakup informasi sensitif milik perusahaan keamanan siber, industri pertahanan, hingga lembaga pemerintahan di berbagai negara.
Strategi serangan dilakukan melalui dua pendekatan utama. Pertama, pelaku menyamar sebagai perekrut dari perusahaan ternama yang menawarkan proyek kontrak. Kedua, mereka berpura-pura sebagai developer freelance yang mengirimkan pull request berisi malware tersembunyi di GitHub.
Peneliti juga mencatat bahwa developer di kawasan Asia Selatan, khususnya India, menjadi target utama. Hal ini dipengaruhi oleh pesatnya pertumbuhan jumlah pengembang di wilayah tersebut serta tingginya adopsi kripto, sehingga tawaran pekerjaan asing dengan imbalan besar kerap sulit ditolak.
Jejak digital dari infrastruktur serangan ini mengarah pada aktivitas kelompok peretas yang diduga didukung negara, yakni Korea Utara. Penyelidik menemukan alamat IP yang berlokasi di Vladivostok, Rusia, yang sebelumnya sering dikaitkan dengan operasi siber negara tersebut.
Selain itu, beberapa dompet kripto yang digunakan memiliki kemiripan dengan aset yang terlibat dalam kasus peretasan besar di bursa kripto Bybit pada awal 2025.
Nick Carlsen dari TRM Labs menjelaskan bahwa tujuan utama operasi ini kemungkinan besar bersifat finansial, yakni untuk mendukung pendanaan program militer.
Namun demikian, banyaknya kredensial yang dicuri juga berpotensi dimanfaatkan untuk membangun identitas palsu bagi tenaga IT Korea Utara agar dapat menembus pasar kerja global secara ilegal.
