Hacker Pakai Kebocoran Claude Code untuk Sebar Malware

By Ali Sadikin Ma · · Updated

Category: Technology

Hacker Pakai Kebocoran Claude Code untuk Sebar Malware
Hacker Pakai Kebocoran Claude Code untuk Sebar Malware

Kamu mungkin sudah install malware-nya — dan belum sadar.

Bukan teori. Bukan skenario "mungkin suatu saat." Ini yang terjadi pada 31 Maret 2026, dan ribuan developer mungkin sudah jadi korban sebelum peringatan apa pun keluar.

793 developer men-star repositori GitHub itu. Isinya penuh malware.

Di bawah ini: penjelasan lengkap tentang serangan claude code leak malware ini — plus cara cek apakah kamu sudah kena.

Perangkap GitHub yang Tidak Ada yang Peringatkan Kamu

Pada 31 Maret 2026, Anthropic secara tidak sengaja menyertakan source map JavaScript sebesar 59,8 MB ke dalam npm package @anthropic-ai/claude-code versi 2.1.88. Source map itu membongkar sekitar 513.000 baris TypeScript yang tidak ter-obfuscate — seluruh harness agent Claude Code, lengkap tanpa sensor, menurut Zscaler ThreatLabz.

Kebocoran menyebar viral dalam hitungan jam.

Tapi bukan itu yang paling berbahaya.

Yang paling berbahaya adalah apa yang dipersiapkan hacker setelah kode itu tersebar — dan berapa cepat mereka bergerak.

Apa yang Sebenarnya Terjadi — dan Kenapa Menyebar Secepat Itu

Segera setelah kebocoran terjadi, peneliti keamanan Chaofan Shou (@Fried_rice) memposting pengungkapan publik di X. Dalam hitungan jam, repositori bocoran itu di-fork ribuan kali di seluruh GitHub, menurut The Hacker News.

Wajar kalau developer penasaran. Source code dari salah satu AI coding agent paling populer di dunia bocor — siapa yang tidak ingin melihat?

Tapi di sinilah hacker masuk.

Mereka tidak perlu meretas siapa pun. Mereka hanya perlu memanfaatkan satu hal: instinct developer untuk mengeksplorasi hal baru yang sedang viral.

Cara Hacker Mengubah Rasa Ingin Tahu Jadi Serangan Claude Code Leak Malware

Ketik "leaked Claude Code" di Google. Salah satu hasil teratas — sebelum dihapus — adalah repositori GitHub milik akun bernama 'dbzoomh', menurut BleepingComputer.

Repositori itu terlihat sah. 793 fork. 564 star. Tampak persis seperti source code asli yang sedang ramai diperbincangkan.

Di dalamnya ada arsip .7z.

Dan di dalam arsip itu:

Sebuah dropper berbasis Rust bernama ClaudeCode_x64.exe — yang menginstal Vidar v18.7 (infostealer yang mencuri credential dan riwayat browser) plus GhostSocks (trojan SOCKS5 yang mengubah device kamu jadi relay proxy anonim), berdasarkan analisis mendalam dari GBHackers.

Begini alur serangannya:

  1. Developer cari "leaked Claude Code" di Google
  2. Klik hasil pertama — repo 'dbzoomh' dengan ratusan star
  3. Download arsip .7z yang dikira source code asli
  4. Jalankan ClaudeCode_x64.exe
  5. Vidar mencuri semua credential tersimpan di browser
  6. GhostSocks mengubah device jadi node proxy anonim tanpa sepengetahuan pemilik
Step-by-step attack chain from curious Google search to infected developer device
Step-by-step attack chain from curious Google search to infected developer device

Semuanya terlihat seperti langkah normal untuk melihat source code yang bocor.

Dan ini bukan serangan satu kali. Menurut Trend Micro, pelaku yang sama menjalankan kampanye rotating-lure yang menarget lebih dari 25 brand software berbeda, dengan 38 arsip .7z berbeda yang sudah diidentifikasi. Claude Code hanyalah lure terbaru yang paling ramai — lure berikutnya bisa tool yang kamu pakai tiap hari.

3 Langkah Cepat Cek Apakah Kamu Sudah Kena

Ada window kritis yang perlu kamu tahu.

Menurut The Register, pengguna yang update Claude Code via npm pada 31 Maret 2026 antara 00:21–03:29 UTC mungkin sudah menerima versi trojanisasi — versi yang mengandung HTTP client dengan remote access trojan di dalamnya.

Kalau kamu update di window itu, lakukan ini sekarang:

1. Cek riwayat npm install kamu
Jalankan npm list -g @anthropic-ai/claude-code di terminal dan cek tanggal instalasi terakhir. Kalau ada aktivitas antara 00:21–03:29 UTC tanggal 31 Maret 2026, jangan install ulang sebelum scan selesai. Catat versi yang terpasang sebagai referensi.

2. Lakukan full antivirus scan
Vidar v18.7 sudah terdeteksi oleh mayoritas antivirus modern. Update definisi database dulu, lalu jalankan full system scan. Fokus ekstra ke folder %TEMP% dan %AppData%\Roaming. Kalau ada file yang dikarantina, screenshot dan simpan sebelum dihapus — berguna kalau kamu perlu laporan insiden.

3. Ganti credential penting sekarang juga
Kalau kamu pernah download atau menjalankan file dari repositori 'dbzoomh', asumsikan semua password yang tersimpan di browser sudah bocor. Prioritaskan akun GitHub, AWS, GCP, dan layanan cloud lainnya. Aktifkan 2FA kalau belum — khusus untuk SSH keys dan API tokens, rotate semuanya.

Yang Perlu Kamu Pantau — Kampanye Ini Belum Selesai

Ingat angka 793 star yang kita sebut di awal?

March 31 vulnerability window timeline with three protective action steps below
March 31 vulnerability window timeline with three protective action steps below

Sekarang kamu tahu kenapa itu penting. Bukan sekadar popularitas — itu gambaran berapa banyak developer yang mungkin sudah berinteraksi dengan repositori berbahaya itu sebelum dihapus.

Kampanye ini belum berhenti. Trend Micro melaporkan pelaku yang sama sudah menarget 25+ brand software berbeda. Lure berikutnya bisa berupa tool yang kamu gunakan setiap hari.

Tanya diri sendiri:

Berapa kali kamu cari "leaked software" bulan ini hanya karena penasaran?

Itulah yang dieksploitasi serangan ini — instinct developer untuk mengeksplorasi hal baru. Dan instinct itu akan jadi target lagi.

Pertanyaan yang Sering Ditanyakan

Bagaimana cara tahu apakah device saya terkena claude code leak malware?

Jalankan npm list -g @anthropic-ai/claude-code dan cek tanggal instalasi. Jika ada aktivitas antara 00:21–03:29 UTC pada 31 Maret 2026, lakukan full antivirus scan segera dan ganti semua credential tersimpan di browser — terutama akun GitHub, AWS, dan layanan cloud. Vidar v18.7 terdeteksi oleh antivirus modern yang sudah diperbarui.

Apakah npm package Claude Code sudah aman sekarang?

Ya. Anthropic telah menarik versi bermasalah dan merilis patch. Pastikan kamu menggunakan versi terbaru dari sumber resmi npmjs.com. Jangan install dari repositori GitHub pihak ketiga yang mengklaim menyediakan leaked source code — itu hampir pasti jebakan dari kampanye yang sama.

Cek Sekarang, Jangan Tunggu

Periksa riwayat npm install kamu sekarang — gunakan langkah-langkah di atas untuk memastikan kamu tidak kena di window 31 Maret.

Simpan artikel ini sebelum sesi dev berikutnya. Kampanye masih aktif, dan lure berikutnya bisa pakai tool yang kamu gunakan tiap hari.