# Djinn Stealer Incar Kredensial Cloud dan AI

> Malware Djinn Stealer secara aktif menargetkan kredensial infrastruktur cloud dan platform AI, menandai pergeseran fokus threat actor ke aset enterprise bernilai tinggi.

**URL:** https://www.ciptadusa.com/blog/djinn-stealer-kredensial-cloud-ai-20260630  
**Type:** blog  
**Author:** PT Cipta Dua Saudara  
**Category:** Keamanan Aplikasi  
**Published:** 2026-06-30  
**Cover:** https://cdn-uagents.enitip.com/uploads/blog/2026-06/daily-appsec-20260630-014628.jpg  

## Article

Sebuah infostealer baru bernama Djinn muncul dengan target spesifik: kredensial cloud dan API key layanan AI. Bukan browser password atau crypto wallet — melainkan file konfigurasi AWS, token OpenAI, dan service account GCP.

## Ringkasan

Malware Djinn Stealer secara aktif menargetkan kredensial infrastruktur cloud dan platform AI, menandai pergeseran fokus threat actor dari data konsumen ke aset enterprise bernilai tinggi.

## Tantangan

Infostealer tradisional beroperasi dengan pola yang sudah dipahami: harvest browser credentials, exfiltrate cookie sessions, dan dump crypto wallets. Tim keamanan sudah memiliki deteksi yang matang untuk vektor-vektor ini.

Djinn mengubah paradigma tersebut. Malware ini secara spesifik memindai:

- **File konfigurasi cloud** — `~/.aws/credentials`, `~/.config/gcloud/`, `.env` files dengan API keys
- **Token AI platform** — OpenAI API keys, Anthropic tokens, Hugging Face access tokens
- **Service account JSON** — GCP service accounts yang memberikan akses programatis ke seluruh project

Satu service account yang bocor bisa memberi akses ke ratusan resource cloud. Satu API key OpenAI yang dicuri berarti biaya compute tak terbatas ditanggung korban.

## Pendekatan

Djinn menggunakan teknik distribusi yang memanfaatkan kepercayaan developer: package palsu di npm dan PyPI yang namanya mirip library populer (typosquatting), serta repository GitHub yang menyamar sebagai tool AI open-source.

**Deteksi sulit** karena malware ini tidak menyentuh browser storage — EDR yang fokus pada browser credential theft akan melewatkannya. Djinn membaca file teks biasa yang legitimate tools juga baca (AWS CLI membaca `~/.aws/credentials`, misalnya).

**Mitigasi yang direkomendasikan:**

1. Rotasi semua cloud credentials secara berkala (≤90 hari)
2. Gunakan short-lived tokens via identity federation, bukan static API keys
3. Monitor anomali penggunaan API — lonjakan tiba-tiba pada billing OpenAI/AWS adalah indikator awal
4. Scan dependency tree untuk typosquatting packages sebelum install
5. Implementasi secrets manager (Vault, AWS Secrets Manager) — hindari menyimpan credential di plaintext file

Bagi organisasi yang sudah mengadopsi AI tooling secara luas, Djinn adalah pengingat bahwa setiap API key adalah attack surface.

## Referensi

- [Dark Reading: Djinn Stealer Targets Cloud, AI Credentials](https://www.darkreading.com/cyberattacks-data-breaches/djinn-stealer-targets-cloud-ai-credentials)
- [MITRE ATT&CK: Credentials from Files (T1552.001)](https://attack.mitre.org/techniques/T1552/001/)

---

*Markdown version of https://www.ciptadusa.com/blog/djinn-stealer-kredensial-cloud-ai-20260630 — generated for AI agents and LLM crawlers.*