28 Maret 2024. Seorang engineer di Microsoft sedang melakukan sesuatu yang paling membosankan yang bisa dilakukan seorang programmer: profiling performa. Ia bukan sedang berburu ancaman siber. Ia sedang mencoba mengurangi noise dari proses-proses lain di sistemnya agar bisa mengukur kecepatan fitur baru di PostgreSQL dengan lebih akurat.

Namanya Andres Freund. Dan ia tidak sengaja menyelamatkan internet.

Di sistem Debian yang ia gunakan, ada sesuatu yang mengganggu: login SSH terasa sedikit lebih lambat dari biasanya. Setengah detik. Lima ratus milidetik. Hampir tidak terasa — tapi Freund adalah tipe orang yang tidak melewatkan anomali sekecil apa pun.

Ia tidak mengabaikan anomali itu. Ia menginvestigasi. Ia menelusuri lonjakan CPU dan peningkatan latensi ke library xz yang baru diperbarui. Ia menggali ke dalam build artifacts. Dan ia menemukan kode injeksi yang diobfuskasi.

Pada 29 Maret 2024, ia mempublikasikan temuannya ke mailing list oss-security. Respons komunitas keamanan global bersifat segera dan mengguncang.

Apa yang Freund temukan bukan sekadar bug. Ia menemukan bukti operasi infiltrasi multi-tahun yang — jika tidak terdeteksi beberapa pekan lebih lama — berpotensi menjadi serangan siber paling katastrofik dalam sejarah.

XZ Utils: Tulang Punggung yang Tidak Kamu Ketahui Ada

Sebelum memahami apa yang hampir terjadi, perlu dipahami dulu apa itu XZ Utils dan mengapa ia penting.

XZ Utils adalah utilitas kompresi data yang hampir ada di mana-mana dalam ekosistem Linux. Ia menyediakan kompresi dan dekompresi lossless di hampir semua sistem operasi Unix-like, termasuk Linux. XZ Utils menyediakan fungsi-fungsi kritis untuk mengompresi dan mendekompresi data selama berbagai operasi.

Bayangkan sebuah pipa air yang tersembunyi di dalam dinding. Kamu tidak melihatnya, tidak memikirkannya, tapi seluruh rumah bergantung padanya setiap hari. XZ Utils seperti itu. Tool ini digunakan pada banyak smartphone, televisi, dan sebagian besar web server di internet.

Linux sendiri menjalankan 96% web server di dunia. Semua platform cloud besar. Infrastruktur kritis dari perbankan hingga rumah sakit hingga sistem pertahanan. Dan XZ Utils ada di hampir semua sistem Linux itu.

Jika backdoor ini tidak terdeteksi, kata ilmuwan komputer Alex Stamos, “itu akan memberi para pembuatnya kunci master ke ratusan juta komputer di seluruh dunia.”

Yang membuatnya semakin mengerikan: sebagai tool open source, XZ pada dasarnya dipelihara hanya oleh satu sukarelawan — yang memelihara perangkat lunak open source itu secara gratis.

Lasse Collin dan Beban yang Terlalu Berat

Lasse Collin adalah programmer Finlandia yang memulai XZ Utils sebagai proyek hobi. Ia bukan perusahaan. Bukan tim. Hanya satu orang yang membangun sesuatu yang berguna dan berbagi dengan dunia — seperti yang dilakukan ribuan developer open source setiap harinya.

Tapi XZ Utils bukan sekadar proyek kecil. Ia menjadi komponen fundamental dari hampir setiap distribusi Linux di planet ini. XZ bukan proyek sampingan — ia adalah tanggung jawab yang signifikan. Hanya saja ia tidak membawa sumber daya yang sebanding dengan tanggung jawab itu.

Bertahun-tahun berlalu. Permintaan fitur menumpuk. Bug reports datang silih berganti. Komunitas pengguna tumbuh. Tapi yang memelihara itu semua tetap satu orang yang sama, tanpa bayaran, tanpa dukungan institusional.

Pada Juni 2022, Collin dengan berani mengakui bahwa ia tidak sempurna. Ia hanya manusia biasa. “Saya tidak kehilangan minat tapi kemampuan saya untuk merawat proyek ini cukup terbatas, sebagian besar karena masalah kesehatan mental jangka panjang tapi juga karena hal-hal lain. Perlu diingat juga bahwa ini adalah proyek hobi yang tidak dibayar.”

Di satu sisi dunia, ada satu orang yang kelelahan, memelihara infrastruktur kritis tanpa imbalan, mengakui secara terbuka bahwa ia sedang tidak baik.

Di sisi lain, ada seseorang — atau sekelompok orang — yang sedang membaca pengakuan itu dengan sangat seksama.

Jia Tan: Identitas yang Tidak Pernah Ada

Oktober 2021. Sebuah akun GitHub baru dibuat dengan nama “JiaT75.” Nama lengkapnya diklaim sebagai Jia Tan, atau Jia Cheong Tan.

Ketika kisah ini pecah, orang-orang mulai menyatukan jejak online dan riwayat orang ini — dan menemukan seseorang yang tampaknya baru muncul ke dunia pada Oktober 2021. Tidak ada rekam jejak sebelumnya. Tidak ada kontribusi ke proyek lain sebelum itu. Tidak ada kehadiran online di luar aktivitas coding. Tidak ada data dari breach database mana pun.

Tapi kodenya bagus. Kontribusinya awal-awal kecil, teknis, dan membantu. Ia aktif di diskusi mailing list. Ia merespons dengan cepat. Ia sabar. Ia profesional.

Kontribusi awal mereka bersifat sederhana dan secara teknis solid — patch, perbaikan, peningkatan kecil. Tidak ada yang menimbulkan kecurigaan. Selama bulan-bulan berikutnya, kontribusi tumbuh dalam frekuensi dan kualitas. Mereka terlibat secara konstruktif dalam diskusi mailing list, membantu triage isu, dan membangun rekam jejak pekerjaan yang andal.

Ini bukan hacker yang membobol sistem dari luar. Ini adalah seseorang yang membangun kepercayaan dari dalam — dengan sabar, selama bertahun-tahun, satu commit pada satu waktu.

Tiga Boneka, Satu Sutradara

Tapi kesabaran saja tidak cukup. Untuk benar-benar masuk ke dalam proyek, Jia Tan membutuhkan sesuatu: akses maintainer. Dan Lasse Collin belum memberikannya.

Maka muncullah karakter-karakter lain.

Tiga identitas menekan Lasse Collin di musim panas 2022 untuk memancing penyerahan kendali proyek: Jia Tan/Jia Cheong Tan, Dennis Ens, dan Jigar Kumar. Identitas-identitas ini tersusun dari akun GitHub, tiga akun email gratis dengan skema nama serupa, akun IRC dan Ubuntu One, dan komunikasi email di mailing list developer XZ Utils.

Bahkan identitas-identitas ini berinteraksi satu sama lain di thread email, mengeluhkan perlunya mengganti Lasse Collin sebagai maintainer XZ Utils.

“Jigar Kumar” menulis: “Sudah lebih dari sebulan dan tidak ada kemajuan. Bukan kejutan.” Di thread lain: “Kemajuan tidak akan terjadi sampai ada maintainer baru.”

Tekanan itu berhasil. Collin merespons di mailing list: “Jia Tan mungkin akan memiliki peran yang lebih besar dalam proyek di masa depan. Ia telah banyak membantu di luar mailing list dan praktis sudah menjadi co-maintainer.”

Di tahun 2023, Jia Tan resmi mendapat akses commit penuh ke repositori XZ Utils.

Gambar 1. Timeline operasi XZ backdoor, Oktober 2021 – Maret 2024.

Sumber: Securelist, research.swtch.com, CISA

Dua Tahun untuk Delapan Commit Jahat

Yang terjadi selanjutnya adalah demonstrasi kesabaran yang hampir tidak manusiawi.

Kampanye ini berlangsung tiga tahun. Dari semua kontribusi yang dibuat selama periode ini, hanya delapan commit yang bersifat jahat. Sisanya adalah peningkatan yang sah — 2,6 tahun dari keterlibatan yang berkelanjutan dan sabar untuk mendapatkan kepercayaan yang dibutuhkan untuk mendistribusikan backdoor.

Kode jahat itu pun tidak ditempatkan secara kasar. Backdoor ini tidak berada di repositori GitHub, tapi hanya di versi rilis paket, yang menyembunyikan kehadirannya. Ia disembunyikan di dalam proses build — bukan di kode sumber yang terlihat, tapi di cara kode itu dikompilasi menjadi binary yang berjalan di mesin nyata.

Ini seperti seseorang yang tidak meracuni resep masakan, tapi meracuni oven — sehingga makanan apa pun yang dimasak di dalamnya menjadi beracun, tapi resepnya sendiri terlihat bersih.

Pada Februari 2024, versi 5.6.0 dirilis dengan backdoor tertanam. Pada 9 Maret 2024, versi 5.6.1 menyusul — dengan penyempurnaan tambahan untuk menyembunyikan kehadirannya lebih jauh.

Kode jahat yang ditambahkan ke XZ Utils versi 5.6.0 dan 5.6.1 memodifikasi cara software berfungsi ketika melakukan operasi yang berkaitan dengan kompresi atau dekompresi lzma. Ketika fungsi-fungsi ini melibatkan SSH, mereka memungkinkan kode jahat dieksekusi dengan hak root. Kode ini memungkinkan seseorang yang memiliki encryption key tertentu untuk login ke sistem yang terinfeksi melalui SSH. Dari sana, orang tersebut akan memiliki tingkat kontrol yang sama seperti administrator yang berwenang.

Gambar 2. Cara kerja backdoor XZ Utils melalui rantai SSH → liblzma

Dengan kata lain: siapa pun yang memiliki kunci itu bisa masuk ke server mana pun yang menjalankan versi XZ yang terinfeksi — diam-diam, tanpa meninggalkan jejak, dengan akses penuh. Ke bank. Ke rumah sakit. Ke infrastruktur militer. Ke server cloud yang menjalankan sebagian besar internet.

CVE-2024-3094 mendapat skor CVSS 10.0 — nilai tertinggi yang mungkin.

Setengah Detik yang Mengubah Segalanya

Dan kemudian Andres Freund memperhatikan login SSH-nya terasa setengah detik lebih lambat.

Freund sedang menjalankan benchmark dan mencoba mengurangi noise dari program lain di sistemnya. Sambil melakukan itu, ia menyadari bahwa sshd menggunakan lebih banyak CPU dari yang seharusnya saat login, sekitar 0,5 detik setiap kali.

Ia mulai menelusuri ke mana CPU time itu pergi — dan menemukan bahwa sebagian besar digunakan oleh bagian dari liblzma, tanpa indikasi di fungsi mana. Itu sangat mencurigakan.

Kebanyakan orang akan mengasumsikan ini bug kecil atau masalah konfigurasi dan melanjutkan pekerjaan. Freund tidak. Ia menggali lebih dalam.

Lebih jauh, Andres menemukan bahwa SSH memiliki dependensi pada XZ Utils, yang berarti fungsi-fungsi XZ tertentu dipanggil ketika SSH dieksekusi. Saat ia terus menyelidiki, Andres menemukan backdoor tersembunyi — kode jahat yang terbenam di dalam XZ Utils.

Pada 29 Maret 2024, ia mengirim email ke mailing list oss-security. Dalam hitungan jam, komunitas keamanan global bereaksi. Red Hat mengeluarkan peringatan keamanan darurat. Distribusi-distribusi Linux bergerak cepat untuk merevisi ke versi sebelumnya. Patch darurat dirilis.

“Ini mungkin serangan supply chain yang paling baik dieksekusi yang pernah kita lihat… ini adalah skenario mimpi buruk: upstream yang jahat, kompeten, dan berwenang di dalam library yang banyak digunakan.”

Siapa Jia Tan?

Pertanyaan yang belum terjawab sampai hari ini.

Kode backdoor dimasukkan pada Februari dan Maret 2024, sebagian besar oleh Jia Cheong Tan, kemungkinan identitas fiktif. Tidak ada yang berhasil mengidentifikasi siapa di balik akun itu. Tidak ada foto. Tidak ada alamat nyata. Tidak ada jejak digital di luar aktivitas di repositori open source.

Yang diketahui komunitas keamanan adalah beberapa detail analisis forensik yang memberi petunjuk tentang asal usulnya: commit-commit Jia Tan cenderung dibuat selama jam-jam yang konsisten dengan zona waktu Asia Timur atau Eropa Timur. Kualitas teknis backdoor-nya menunjukkan pengetahuan mendalam tentang infrastruktur Linux dan SSH. Skala dan kesabaran operasinya. Tiga tahun, dieksekusi dengan presisi militer. Hal ini menunjukkan sumber daya yang jauh melampaui individu yang beraksi sendiri.

Sebagian besar analis keamanan menyimpulkan bahwa ini adalah operasi yang disponsori negara, meski tidak ada yang bisa membuktikan secara definitif. Jumlah waktu dan dedikasi dari Jia Tan hanya bisa dikaitkan dengan adversary yang persistent.

Siapa pun pelakunya, mereka hampir berhasil. Dan mereka mungkin masih di luar sana, dengan lebih banyak waktu, lebih banyak identitas, dan proyek-proyek baru yang sedang mereka masuki.

Dua Sisi dari Satu Koin

XZ backdoor meninggalkan dua warisan yang saling bertentangan — dan keduanya benar.

Open source hampir menghancurkan dirinya sendiri. Model yang memungkinkan miliaran orang menggunakan software berkualitas tinggi secara gratis juga menciptakan kondisi yang sempurna untuk serangan ini. Satu maintainer yang kelelahan, tidak dibayar, memelihara infrastruktur kritis yang digunakan oleh setengah internet — dan ketika ia membutuhkan bantuan, tidak ada sistem untuk memverifikasi bahwa bantuan itu datang dari orang yang bisa dipercaya.

CISA menyimpulkan: beban keamanan seharusnya tidak jatuh pada seorang maintainer open source individu — seperti yang terjadi dalam kasus ini, hampir dengan akibat yang bencana. Perusahaan-perusahaan yang mengonsumsi software open source harus berkontribusi kembali — baik secara finansial maupun melalui waktu developer — untuk memastikan ekosistem yang berkelanjutan di mana proyek open source memiliki komunitas maintainer yang sehat dan beragam.

Dan open source juga yang menyelamatkan semuanya. Justru karena kodenya terbuka, Andres Freund bisa menelusuri anomali kecil hingga menemukan kode jahat yang tersembunyi. Justru karena komunitas bisa memeriksa kode secara bebas, respons global terjadi dalam hitungan jam, bukan bulan. Kita beruntung bahwa sifat terbuka dari ekosistem open source yang lebih luas memungkinkan seorang developer untuk menemukan kompromi supply chain ini sebelum dapat menyebabkan banyak kerugian.

Ini bukan kontradiksi yang bisa diselesaikan dengan mudah. Open source adalah kekuatan dan kelemahan — sering kali dari sumber yang sama.

Gambar 3. Paradoks open source: dua sisi dari sistem yang sama

Pertanyaan yang Belum Terjawab

XZ backdoor memaksa pertanyaan-pertanyaan yang selama ini dihindari oleh industri teknologi.

Siapa yang bertanggung jawab atas keamanan infrastruktur digital yang digunakan miliaran orang, jika infrastruktur itu dibangun dan dipelihara oleh sukarelawan yang tidak dibayar? Maintainer open source terkadang bekerja selama 22 jam sehari tanpa bayaran. Ketika maintainer kelelahan, serangan supply chain menjadi mudah.

Bagaimana kita memverifikasi kepercayaan dalam sistem yang dibangun di atas kepercayaan? Serangan ini mengingatkan kita untuk memikirkan ulang arsitektur kepercayaan di luar keamanan teknis: bagaimana kita bisa membangun model kepercayaan yang tangguh dan berkelanjutan antara manusia, teknologi, dan sistem?

Dan yang paling mengganggu: berapa banyak “Jia Tan” lain yang sedang sabar membangun kepercayaan di dalam proyek-proyek open source lain saat ini, menunggu waktu yang tepat?

Kali berikutnya, kita mungkin tidak seberuntung ini.

Andres Freund menyelamatkan internet dengan memperhatikan anomali 500 milidetik. Tapi ia tidak seharusnya berada dalam posisi di mana satu keputusan satu orang — untuk menyelidiki atau mengabaikan lag kecil dalam SSH — menentukan apakah ratusan juta komputer di seluruh dunia disusupi atau tidak.

Itu bukan keberuntungan yang ingin kita andalkan selamanya.

Sumber

1. Guardsix / Logpoint — “XZ Utils Backdoor: Supply Chain Vulnerability (CVE-2024-3094)” — https://logpoint.com/en/blog/emerging-threats/xz-utils-backdoor
2. Cato Networks — “XZ Backdoor / RCE (CVE-2024-3094) is the Biggest Supply Chain Attack Since Log4j” — https://www.catonetworks.com/blog/xz-backdoor-rce-cve-2024-3094-is-the-biggest-supply-chain-attack-since-log4j/
3. OfSec — “Behind Enemy Lines: Understanding the Threat of the XZ Backdoor” — https://www.offsec.com/blog/xz-backdoor/
4. Securelist (Kaspersky) — “Social engineering aspect of the XZ incident” — https://securelist.com/xz-backdoor-story-part-2-social-engineering/112476/
5. Cloud Odyssey — “The XZ Backdoor: A Near-Catastrophic Supply Chain Attack and the Fragility of Open Source” — https://cloudodyssey.substack.com/p/the-xz-backdoor-a-near-catastrophic
6. FJ Laboratories — “The XZ Utils Backdoor — Burdens, Blame, Burnout” — https://fjlaboratories.com/blog/xz-backdoor
7. Dark Reading — “Attacker Social-Engineered Backdoor Code Into XZ Utils” — https://www.darkreading.com/application-security/attacker-social-engineered-backdoor-code-into-xz-utils
8. Research!rsc — “Timeline of the xz open source attack” — https://research.swtch.com/xz-timeline
9. Elastic Security Labs — “500ms to midnight: XZ A.K.A. liblzma backdoor” — https://www.elastic.co/security-labs/500ms-to-midnight
10. Medium (Aviral Khanna) — “Andres Freund: the man who saved Internet” — https://medium.com/@projectcsework/andres-freund-the-man-who-saved-internet-b9de192c63e9
11. Andrew Baker — “Internet Nearly Collapsed From XZ Backdoor Side Project” — https://andrewbaker.ninja/2026/02/26/a-spy-spent-3-years-planting-a-backdoor-to-bring-the-internet-down-one-person-noticed/
12. Ars Technica — “What we know about the xz Utils backdoor that almost infected the world” — https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/
13. CISA — “Lessons from XZ Utils: Achieving a More Sustainable Open Source Ecosystem” — https://www.cisa.gov/news-events/news/lessons-xz-utils-achieving-more-sustainable-open-source-ecosystem
14. Black Duck — “Everything you need to know about the Xz Utils Backdoor” — https://www.blackduck.com/blog/xz-utils-backdoor-supply-chain-attack.html
15. DarkNavy — “The Most Unfortunate Backdoor of 2024” — https://www.darknavy.org/darknavy_insight/the_most_unfortunate_backdoor_of_2024/
16. SoftwareSeni — “The XZ Utils Backdoor CVE-2024-3094 and the Multi-Year Social Engineering Campaign Behind It” — https://www.softwareseni.com/the-xz-utils-backdoor-cve-2024-3094-and-the-multi-year-social-engineering-campaign-behind-it/
17. Invicti — “The Xz-Utils Backdoor: The Supply Chain RCE That Got Caught” — https://www.invicti.com/blog/web-security/xz-utils-backdoor-supply-chain-rce-that-got-caught/
18. Computer Weekly — “Building a more secure, and sustainable, open source ecosystem” — https://www.computerweekly.com/opinion/Building-a-more-secure-and-sustainable-open-source-ecosystem
19. The Conversation — “An anonymous coder nearly hacked a big chunk of the internet. How worried should we be?” — https://theconversation.com/an-anonymous-coder-nearly-hacked-a-big-chunk-of-the-internet-how-worried-should-we-be-227143
20. ZiTechurity — “The XZ Utils Backdoor: A Narrow Escape and a Wake-Up Call for Open Source” — https://blog.zitechurity.com/2025/09/17/the-xz-utils-backdoor-a-narrow-escape-and-a-wake-up-call-for-open-source/