k1m0ch1

Install Nomad Multi-Region di chronicle.rip: Full AI Navigation dari Nol

Wed, 08 Apr 2026 07:00:00 +0000

gw baru aja selesai build Nomad cluster multi-region buat chronicle.rip — mapping platform yang serve user di 86 negara. 3 region (Singapore, Australia, US), 6 VM, federated Nomad cluster, Headscale VPN mesh, zero public IP, dan semuanya di-navigate pake AI.

bukan hyperbole. literally setiap keputusan arsitektur, setiap command, setiap config — gw navigate pake Claude Code.

ini ceritanya.

masalahnya

chronicle.rip itu pake Docker Compose di GCP VM. kuno. setiap deploy harus SSH ke server, pull image, restart container. scaling? tambah VM manual. monitoring? Prometheus yang di-scrape lewat CDN (iya, gw tau, ini bodoh — ceritanya panjang).

dan yang paling parah: US user kena 6.35 detik P99 karena load balancer cuma point ke Australia. US server udah jalan, udah bayar $250/bulan, tapi GA PERNAH DI-CONNECT ke backend service. 💀

waktunya migrate ke something proper.

kenapa Nomad, bukan Kubernetes?

ini keputusan pertama yang gw navigate pake Claude Code. gw kasih konteks:

"gw punya 4 VM sekarang, mau scale ke 6. 
workload-nya Django API, Angular frontend, Redis, Elasticsearch.
budget terbatas. tim cuma gw doang. 
compare Nomad vs Kubernetes buat case ini"

dan AI kasih analysis yang jujur:

Kubernetes:

butuh minimum 3 master node
etcd, CRD, operator — complexity tinggi
overhead resource ~30% dari total capacity
great ecosystem tapi overkill buat 6 node

Nomad:

single binary, server + client
native Docker support, ga perlu containerd config
GPU scheduling built-in (buat BIRT workers)
operational complexity rendah — satu orang bisa maintain

keputusan: Nomad. dan ini bukan keputusan yang salah.

keputusan kedua: Consul atau engga?

ini menarik. semua tutorial HashiCorp bilang “pake Consul buat service discovery”. gw tanya Claude Code:

"Nomad 1.11 udah punya native service discovery. 
chronicle cuma butuh inter-service communication dalam satu region. 
ga butuh service mesh. ga butuh cross-region service calls.
masih perlu Consul?"

jawabannya: ga perlu.

alasannya clear:

Nomad 1.11 punya nomadService template function — cukup buat discover service dalam cluster
Consul nambah 5 port firewall per node
nambah satu cluster lagi yang harus di-maintain
buat 6 node tanpa service mesh requirement, overkill

gw dokumentasiin keputusan ini di 01-DECISION.md — biar kalau nanti ada yang tanya “kok ga pake Consul?”, jawabannya udah ada.

arsitektur yang di-build

nomad-vpc (global)
├── nomad-subnet-sg   10.20.1.0/24   (Singapore)
│   ├── nomad-server-sg   10.20.1.2    ← Headscale server
│   └── nomad-client-sg   10.20.1.3    ← Workload runner
├── nomad-subnet-aus  10.20.2.0/24   (Australia)
│   ├── nomad-server-aus  10.20.2.2
│   └── nomad-client-aus  10.20.2.3
└── nomad-subnet-us   10.20.3.0/24   (US Central)
    ├── nomad-server-us   10.20.3.2
    └── nomad-client-us   10.20.3.3

6 VM. 3 server (Nomad control plane), 3 client (workload execution). semua TANPA public IP — akses cuma lewat GCP IAP tunnel atau Headscale VPN.

kenapa Headscale? karena gw butuh overlay network antar region yang:

encrypted (WireGuard)
ga butuh VPC peering
bisa diakses dari laptop developer
free (self-hosted Tailscale control server)

satu Global HTTP Load Balancer di depan buat expose Nomad UI dan Headscale endpoint.

ini bagian yang paling menarik buat diceritain.

fase 1: planning

gw ga langsung build. gw minta Claude Code bikin architecture document dulu:

"bikin architecture document buat multi-region Nomad cluster.
requirement: 3 region (SG, AUS, US), GCP, 
no public IP, Headscale VPN, federated cluster.
include: VPC layout, firewall rules, VM specs, 
software stack, deployment pipeline"

dia generate 02-ARCHITECTURE.md — document lengkap yang jadi blueprint. gw review, revisi, approve.

fase 2: provisioning

semua resource GCP di-create lewat Claude Code executing gcloud commands:

"create VPC, subnets di 3 region, firewall rules sesuai architecture doc,
6 VM dengan spec yang udah di-define. no public IP, IAP access only"

dia execute step by step. VPC → subnet → firewall → VM → SSH keys. kalau ada error (dan PASTI ada error, terutama firewall rules), dia baca error-nya dan fix sendiri.

total: 6 VM, 3 subnet, 6 firewall rules, 3 Cloud NAT, 3 Cloud Router, 1 Load Balancer — semua dari terminal.

fase 3: software installation

SSH ke tiap VM lewat IAP tunnel, install Nomad, Docker, Tailscale:

"SSH ke nomad-server-sg via IAP, install Nomad 1.11.3, Docker, 
Tailscale. configure Nomad as server, region sg, 
datacenter dc-sg. enable ACL."

6 VM × setup sequence = banyak command. tapi karena pattern-nya sama, Claude Code bikin reusable script yang di-adapt per region.

fase 4: cluster federation

ini bagian yang tricky. 3 Nomad server harus join jadi satu federated cluster via WAN gossip. tapi WAN gossip jalan di atas Headscale overlay network, bukan GCP internal network.

"federate nomad-server-aus dan nomad-server-us 
ke nomad-server-sg via Headscale IP (100.64.0.x). 
verify dengan nomad server members"

pertama kali gagal karena gossip port ga di-allow di firewall Headscale. Claude Code diagnose dari error log, suggest fix, dan retry. second attempt: federated. ✅

fase 5: deploy BIRT

BIRT itu data processing service chronicle — 9 worker groups, pull dari Harbor registry, connect ke MySQL via socat proxy.

ini dimana fun stuff happen:

5 worker images MISSING boto3/botocore dependency → Claude Code patch in-place dengan docker commit
nginx job naming quirk: production nginx ternyata job nginx-test, bukan nginx → Claude Code discover ini dari allocation list dan WARN gw buat ga stop nginx-test
database connectivity lewat socat proxy over Headscale mesh → Claude Code set up end-to-end

hasil akhir

Metric	Sebelum (Docker Compose)	Sesudah (Nomad)
Deploy method	SSH + pull + restart	`nomad job run`
Multi-region	Manual per VM	Federated cluster
Service discovery	Hardcoded ports	`nomadService` dynamic
Scaling	Tambah VM manual	Nomad allocation
Monitoring	Prometheus lewat CDN 😅	Nomad UI + health checks
Security	Public IP di semua VM	Zero public IP, IAP only

total waktu build: ~3 hari kerja buat production-grade multi-region cluster.

tanpa AI navigation? estimasi gw: 2-3 minggu minimum, considering gw baru pertama kali setup Nomad multi-region.

yang gw pelajari

setiap keputusan arsitektur (Nomad vs K8s, no Consul, Headscale vs VPN, region layout) — gw yang decide. Claude Code provide analysis, comparison, trade-offs. tapi decision tetep gw.

2. documentation as you go

karena Claude Code jalan di terminal, semua proses ter-documented secara natural. gw punya ACTIVITY_LOG.md yang list SEMUA resource yang di-create, 01-DECISION.md buat keputusan arsitektur, RESULT.md buat summary. documentation yang biasanya di-skip karena “nanti aja”, sekarang jadi by-product dari workflow.

3. error handling jadi cepet

Nomad cluster federation gagal? Claude Code baca log, identify issue (firewall), suggest fix, execute. dependency missing di Docker image? dia suggest docker commit buat patch in-place. nginx naming quirk? dia discover dari data dan warn.

dulu error kayak gini bisa makan setengah hari googling Stack Overflow. sekarang menit.

4. the compound effect

satu-satu, each AI assist kecil. tapi compound-nya gede: architecture doc + provisioning + installation + configuration + troubleshooting + documentation — semua di-accelerate. 3 hari vs 3 minggu bukan karena satu shortcut, tapi karena puluhan shortcut yang stack.

buat yang mau coba

kalau lo mau setup Nomad cluster dan mau coba navigate pake AI:

mulai dari architecture doc. jangan langsung build. minta AI bikin blueprint, lo review
satu region dulu. jangan langsung 3 region. set up SG, pastiin works, baru expand
document decisions. kenapa Nomad, kenapa no Consul, kenapa Headscale — tulis alasannya
expect errors. AI ga perfect. firewall rules salah, config typo, dependency missing — normal. yang penting AI bisa help diagnose cepet
keep the human in the loop. AI navigate, lo drive

cluster gw sekarang jalan. BIRT healthy, 9 groups running, semua region federated. dan gw ga pernah buka satu tutorial YouTube pun.

terminal + AI. that’s it.

Pentesting Pake Claude Code: Workflow yang Ga Ada di Tutorial Manapun

Wed, 08 Apr 2026 06:00:00 +0000

gw udah pentesting dari 2016. dulu manual banget — nmap, burpsuite, manual fuzzing, nulis exploit sendiri, report di word document. sekarang? gw masih lakuin semua itu. tapi ada satu tool yang bikin workflow gw 3x lebih cepet, dan itu bukan tool pentesting.

itu Claude Code.

bukan buat replace skill lo. bukan buat “auto-hack”. tapi buat hal-hal yang dulu makan waktu berjam-jam dan sekarang makan menit.

kenapa Claude Code, bukan ChatGPT?

gw pernah bikin thread soal ini. ChatGPT itu bagus buat brainstorming, tapi buat REAL pentesting workflow? nope.

alasannya:

Claude Code jalan di terminal lo. dia bisa baca output nmap, parse hasil burp, analyze response langsung.
dia bisa execute command. bukan copy-paste — EXECUTE.
context window gede. lo bisa kasih dia ratusan line log dan dia ga lupa context di awal.
dengan MCP Shodan, dia bisa recon langsung. ip_lookup 103.xxx.xxx.xxx → dapet semua open port, services, CVE.

workflow gw sekarang

1. Reconnaissance — Shodan + web search

sebelum nyentuh target, gw minta Claude Code research dulu:

"cari informasi tentang target X, cek IP-nya di shodan, 
cek DNS records, enumerate subdomain yang visible"

dengan MCP Shodan, dia langsung:

ip_lookup — open ports, services, OS fingerprint
dns_lookup — A, AAAA, MX, CNAME records
reverse_dns_lookup — apa aja yang point ke IP ini
cve_lookup — kalau ada service yang vulnerable

dulu ini gw harus buka Shodan web, copy-paste, cross-reference manual. sekarang satu prompt, semua data di terminal.

2. Analysis — baca output, cari pattern

ini dimana Claude Code paling berguna. lo kasih dia raw output dari tools:

"ini hasil nmap scan. identify service yang potentially vulnerable, 
prioritize by severity, dan suggest next steps"

dia ga cuma list port. dia cross-reference service version sama known CVE. dia suggest specific exploit path. dia bahkan kasih one-liner buat test.

3. Exploit Development — pair programming mode

gw bikin custom exploit, Claude Code jadi pair programmer:

"gw mau bikin python script buat test SQL injection di endpoint ini.
parameternya X, response pattern-nya kayak gini.
bikin script yang bisa detect blind SQLi pake time-based technique"

dia generate script, gw review, gw modify, gw run. kalau error, dia liat error-nya (karena dia di terminal yang sama), langsung suggest fix.

ini bukan “AI bikin exploit otomatis” — ini pair programming dimana partner lo punya knowledge base yang gede banget.

4. Reverse Engineering — image analysis MVP

ini yang unexpected. gw pernah reverse engineering satu mobile app (gw tulis di blog soal Big Brother Test). sekarang dengan Claude Code:

screenshot decompiled code → dia baca dan analyze
screenshot network traffic → dia identify pattern
screenshot obfuscated config → dia help decode

fitur image analysis dari Claude Code itu underrated banget buat security research.

5. Report Writing — yang paling boring, jadi cepet

ini mungkin where most time is saved. setelah semua finding di-document (gw pake Axolotl buat record findings), gw minta Claude Code:

"dari findings ini, generate executive summary dan technical detail.
format: severity, description, impact, remediation.
tone: professional tapi accessible buat management"

report yang biasanya 4-5 jam jadi 30 menit. dan quality-nya consistent.

hal yang Claude Code GA BISA buat pentesting

biar fair:

ga bisa replace intuisi. knowing WHERE to look, what feels off, when something is too easy — itu pengalaman, bukan AI.
ga bisa social engineering. well, technically bisa generate phishing email, tapi judgement call kapan dan gimana — itu tetep lo.
jangan blindly trust output-nya. dia bisa salah. dia bisa hallucinate CVE yang ga ada. SELALU verify.
jangan pake buat illegal shit. ini harusnya obvious tapi perlu dibilang.

tools yang gw combine

Tool	Fungsi	AI-Assisted?
nmap	network scanning	output di-analyze Claude
Burp Suite	web app testing	manual, tapi findings di-process Claude
Shodan MCP	reconnaissance	directly from Claude Code
sqlmap	SQLi testing	manual run, Claude analyze results
Playwright MCP	web app interaction	controlled from Claude Code
Axolotl	finding documentation	output fed to Claude for reports

real example: BCA QR Merchant reverse engineering

gw pernah reverse engineering flow authentication dari BCA QR Merchant app. ini flow-nya:

pake Playwright MCP buat capture semua network request waktu login
nemuin authentication flow yang pake Keycloak SSO (OpenID Connect)
nemuin endpoint: mssi.ebanksvc.bca.co.id/v1/sso/auth/realms/bca/protocol/openid-connect/token
nemuin encryption pake AES-256-CBC buat payload
bikin Go CLI tool buat replicate flow

semua discovery process itu di-accelerate sama Claude Code. dia yang help trace network flow, identify encryption pattern dari captured requests, dan suggest implementation approach.

tanpa Claude Code, ini research 2 minggu. dengan Claude Code, 3 hari.

kesimpulan

Claude Code bukan pengganti skill pentesting lo. dia amplifier.

kalau lo udah ngerti fundamentalnya — networking, web security, exploitation techniques — Claude Code bikin lo 3x lebih cepet. kalau lo belum ngerti fundamentalnya, dia ga akan magically bikin lo jadi hacker.

invest di skill dulu. terus pake AI buat multiply-nya.

tools berubah. fundamentals tetep.

Setup MCP yang Bikin Claude Code Jadi Senjata: dari Terminal Guys untuk Terminal Guys

Wed, 08 Apr 2026 05:00:00 +0000

gw bukan orang yang suka buka IDE terus klik-klik. gw terminal guys. tmux di linux server, windows buat daily driver, dan semua kerjaan gw lewat CLI. jadi waktu AI coding tools mulai rame, gw ga tertarik sama sekali sama yang model-model kayak open-claw, nemo-claw, atau apalah nama-nama hype tool yang tiap minggu muncul terus ilang.

yang gw butuhin itu simple: AI yang bisa kerja di terminal gw, ngerti konteks project gw, dan ga bodoh.

dan jawabannya: Claude Code + MCP.

pertama-tama: Claude Code, bukan GPT

gw udah coba semuanya. GPT, Copilot, semua. dan kesimpulan gw: GPT itu sampah buat coding.

bukan karena ga bisa generate code — bisa. tapi outputnya itu kayak orang yang baca dokumentasi 5 menit terus sok ngerti. halusinasi API yang ga ada, suggest library yang udah deprecated, dan yang paling nyebelin: ga bisa maintain context panjang.

Claude Code beda. ini bukan chat interface yang lo copy-paste code ke sana. ini CLI tool yang literally jalan di terminal lo, baca file lo, execute command, dan ngerti project lo. gw run ini pake --dangerously-skip-permissions karena gw males approve tiap tool call — ya gw tau risikonya, tapi gw juga yang control terminalnya.

yang bikin Claude Code juara:

web search bawaan — dia bisa search internet langsung dari terminal. ga perlu buka browser buat cari docs.
image analysis — ini yang bikin gw “what the hell is this”. lo bisa kasih screenshot error, screenshot UI, screenshot diagram, dan dia BACA itu. dari terminal. screenshot → paste → dia ngerti. gw pernah kasih screenshot Grafana dashboard dan dia langsung ngerti metric mana yang anomaly.
sub agent — ini game changer. lo bisa spawn agent terpisah buat research, buat explore codebase, buat review code, PARALEL. jadi gw bisa minta satu agent research API docs sementara gw lanjut ngoding. ini fitur yang gw lagi consider buat dimaksimalin lebih jauh.
model switching — bisa pake Opus buat yang berat, Sonnet buat yang cepet, Haiku buat yang ringan. fleksibel.

MCP: yang bikin Claude Code dari “bagus” jadi “gila”

MCP itu Model Context Protocol. intinya: lo bisa connect tools external ke Claude Code, jadi dia punya “tangan” tambahan. bukan cuma baca file dan run command, tapi bisa akses database, browser, search engine, memory system, code intelligence — semua dari terminal.

ini setup MCP gw yang sekarang jalan:

1. GitNexus — Code Intelligence di Server

gw install GitNexus di server gw sendiri. ini MCP server buat code intelligence — semantic search, symbol lookup, impact analysis, rename refactoring — semua diindex dari repo lo.

cara pakenya: list_repos dulu buat liat apa aja yang ke-index, terus bisa semantic_search buat cari code by meaning (bukan by string), atau symbol_context buat ngerti satu function beserta dependency-nya.

kenapa di server sendiri? karena gw ga mau code gw dikirim ke third party. self-hosted, data gw tetep di gw.

2. Mem0 — Persistent Memory

ini yang keren. Mem0 itu memory layer buat AI. gw bikin MCP servernya sendiri. jadi Claude Code bisa “inget” hal-hal lintas conversation:

project context yang udah di-discuss
user preferences
keputusan arsitektur yang udah dibuat

tanpa ini, tiap conversation baru lo harus jelasin ulang semuanya. dengan Mem0, Claude langsung tau konteksnya.

3. Playwright MCP — Control Browser dari Terminal

ini mungkin yang paling mind-blowing buat orang yang belum pernah liat. Playwright MCP extension yang bisa control SESSION browser lo yang lagi buka. bukan headless browser baru — browser lo yang lagi login, yang lagi buka dashboard, yang lagi di tengah-tengah workflow.

gw pake ini buat:

scrape data dari dashboard yang butuh login (Cloudflare, GCP Console)
automate form submission (gw literally migrate 652 R2 bucket paths pake ini)
capture network requests buat reverse engineering API
take screenshot buat di-analyze Claude

lo kerja di terminal, tapi lo punya mata di browser.

4. RTK — Token Saver dari Rust

RTK (Rust Token Killer) ini hidden gem. single binary Rust yang intercept command output sebelum masuk ke context window Claude. jadi git status yang biasanya makan 200 token, setelah lewat RTK jadi 40 token.

claim mereka 60-90% token savings. dari experience gw, beneran kerasa — session jadi lebih panjang, context ga cepet penuh.

install, set hook, lupa. dia kerja di background.

5. Context7 — Documentation yang Selalu Update

Context7 itu MCP server yang fetch dokumentasi library LANGSUNG dari source, version-specific. jadi kalau lo nanya tentang Next.js 14, dia kasih docs Next.js 14, bukan Next.js 12 yang ada di training data.

52K stars di GitHub bukan tanpa alasan. ini solve masalah terbesar AI coding: hallucinated APIs.

6. Shodan MCP — buat pentesting

ya, gw juga punya Shodan MCP. jadi bisa ip_lookup, cve_lookup, dns_lookup langsung dari Claude Code. buat recon dan research, ini powerful banget.

yang gw pengen explore selanjutnya

agent-skills-for-context-engineering — ini collection of AI agent skills yang optimize gimana LLM pake context window. 13 skills dari foundational sampe cognitive patterns. idenya bagus: instead of maximizing tokens, optimize ATTENTION. gw belum implement tapi udah di radar.

daily workflow gw

Windows (local)
  └── Claude Code CLI (--dangerously-skip-permissions)
        ├── MCP: GitNexus (self-hosted server)
        ├── MCP: Mem0 (self-hosted, custom server)
        ├── MCP: Playwright (control active browser)
        ├── MCP: Shodan (recon)
        ├── MCP: Context7 (live docs)
        ├── RTK hook (token compression)
        └── SSH → Linux server
              └── tmux sessions
                    ├── development
                    ├── monitoring
                    └── deployment

ga ada IDE. ga ada fancy GUI. terminal, MCP, dan AI yang ngerti konteks lo.

buat yang baru mulai

kalau lo baru mulai pake AI buat coding dan bingung mau mulai dari mana:

install Claude Code — npm install -g @anthropic-ai/claude-code
mulai dari tanpa MCP — Claude Code udah powerful sendiri. biasain dulu workflow-nya
tambahin MCP satu-satu — Context7 paling gampang buat start, tinggal npx ctx7 setup
jangan ikut-ikutan hype tool — serius, open-claw dan sejenisnya itu mostly wrapper di atas API yang sama. lo ga butuh 15 layer abstraction. lo butuh tool yang KERJA.
pake --dangerously-skip-permissions kalau lo tau apa yang lo lakuin — ini bukan buat pemula, tapi kalau lo udah ngerti risikonya, workflow jadi 10x lebih smooth

yang penting: jadiin AI sebagai partner, bukan magic wand. lo tetep harus ngerti code-nya. AI cuma bikin lo lebih cepet sampe sana.

gw akan terus update setup MCP gw. kalau ada tool baru yang worth it, gw tulis lagi. kalau ada yang sampah, gw bilang juga.

stay terminal, stay sane. ✌️

axios kena supply chain attack

Tue, 31 Mar 2026 05:00:00 +0000

AXIOS kena supply chain attack ANJENGGGG 😂 😂😂😂😂😂😂

akun master maintenainer

TL;DR nih gw bikin thread simplenya bro

https://x.com/BukanYahya/status/2038840805956472884

bukan bug. bukan salah lo. ada yang masuk ke akun maintainernya, diem-diem publish versi baru yang isinya trojan.

dan dramanya terjadi live. di depan mata semua orang.

sedikit konteks

axios itu http client buat javascript. 109k stars, diunduh ratusan juta kali per minggu. hampir ga ada project modern yang ga pake ini.

makanya ini gede.

yang terjadi

sekitar jam 03:00 UTC, researcher namanya ashish kurmi buka issue di github:

“axios@1.14.1 and axios@0.30.4 are compromised”

dua versi baru dipublish ke npm, keduanya bawa Remote Access Trojan (RAT). bukan celah keamanan, bukan misconfiguration. kode jahatnya langsung disisip ke package yang lo percaya.

ini supply chain attack.

cara kerjanya

dari analisa stepsecurity, ternyata lebih rapi dari yang gw kira.

18 jam sebelum serangan, attacker publish dulu package palsu namanya plain-crypto-js@4.2.1 ke npm. package ini ga pernah ada di axios sebelumnya. kenapa? biar waktu axios@1.14.1 tiba-tiba punya dependency baru, ga keliatan aneh-aneh.

pas lo install axios versi itu, plain-crypto-js ikut masuk. terus dia jalanin postinstall hook yang aktifin dropper.

alurnya:

npm install axios
-> plain-crypto-js ikut masuk
-> postinstall hook jalan otomatis
-> dropper aktif
-> sistem lo dikuasai

cross-platform pula. ada payload beda buat windows (vbscript + powershell), macos (applescript), dan linux (python). ga ada yang aman.

abis dropper jalan, dia hapus dirinya sendiri dan ganti manifest dengan file bersih. ga ada log, ga ada sisa. forensik jadi susah.

semua platform kirim data ke satu c2 server: sfrclak.com:8000.

drama live di github

ini bagian yang paling gila.

waktu komunitas mulai rame lapor, issue-nya ilang. bukan dihapus github. tapi dihapus sama si attacker yang masih login sebagai jasonsaayman, maintainer utama axios, buat nutupin jejaknya secara real-time.

ashish sendiri nulis:

“a maintainer’s GitHub and npm accounts are compromised as these issues are getting deleted”

orang-orang liat laporan mereka dihapus langsung di depan mata. untung ada yang sempet screenshot.

terus digitalbrain.js, kolaborator lain, coba turun tangan. tapi nemuin masalah lebih gede:

“since access to git and npm is compromised, and his git permissions are higher than mine… whatever I fix, he will ‘fix’ it after me.”

si attacker punya permission lebih tinggi. jadi ngejar-kejaran real-time antara defender sama attacker di github.

00 UTC - issue dibuka, mulai viral
00-03:20 - attacker hapus issue satu-satu
20 UTC - npm revoke semua token jasonsaayman
30 UTC - versi malicious dihapus dari registry

dari laporan masuk sampai paket dihapus: kurang dari 30 menit.

soal jasonsaayman

jay itu maintainer utama axios, dari africa selatan. kontributor open source yang udah lama. ga ada tanda-tanda dia terlibat secara sadar, ini murni credential compromise. kemungkinan phishing atau bocor dari service lain.

pengingat bahwa maintainer berpengalaman pun bisa jadi korban hal kayak gini.

ini bukan yang pertama

event-stream (2018) - malicious code buat curi bitcoin wallet
node-ipc (2022) - maintainer sengaja rusak package karena protes perang ukraine
xz-utils (2024) - serangan multi-tahun yang hampir tembus ssh daemon linux
axios (2026) - ini

polanya sama terus. package populer, trust tinggi, satu titik kegagalan, dampak masif.

yang harus lo lakuin sekarang

cek versi lo dulu:

npm ls axios

kalau hasilnya 1.14.1 atau 0.30.4, update sekarang:

npm install axios@1.14.0

kalau udah terlanjur install versi itu, anggap sistem lo perlu audit serius. rotasi credentials, cek traffic ke sfrclak.com, dan kalau ini server production pertimbangin reinstall.

buat CI/CD ke depannya, harusnya ini jadi default:

npm ci --ignore-scripts

kalau nemu axios@1.14.1 di jsdelivr atau unpkg, masih ada di cache, jangan install juga. sama aja.

kalau lo developer javascript dan belum audit dependencies hari ini, mungkin sekarang waktu yang bagus.

serangan berikutnya mungkin ga seeksplosif ini. mungkin diem-diem, berbulan-bulan, sebelum ada yang sadar.

referensi:

github issue #10604
stepsecurity - axios compromised on npm: malicious versions drop remote access trojan
socket.dev - supply chain attack on axios pulls malicious dependency from npm
strix ai - our ai traced the axios npm attack and found how the payload hid itself

RFC - Offline First Support for pinpoint map

Mon, 08 Dec 2025 09:01:00 +0000

Problem and Motivation

recently I saw this thread https://x.com/radjathaher/status/1997586237683851343 that talking about supporting the disaster response, especially with disaster related with flood at the sumatera some of the reference of the news you could see it here https://www.tempo.co/politik/situasi-belajar-di-sekolah-terdampak-banjir-sumatera-belum-pulih-2097086.

and some of the survivor having a hardtime to support their family, even for themself, I see some discussion on socmed telling some teenager and some volunteer helping others and sarcificing himself by not eating and drinking until makes their urine become yellow to brown to red, they seeking for help, I’m actually crying to hear about this, while I’m here having a good life, I want to help them, even not giving money is not enough, so I cross upon Radja Thaher thread and he want to do “warga bantu warga”

while people on the place having a hardtime to get some internet, this design is to support offline first of the web application

Proposed design

Arch design

The design is pretty simple, when user do some action like making a new pinpoint, giving information, every basic CRUD will be stored into indexedDB, for reference you can use this https://github.com/eFishery/pouchy-store the pouchyDB is working kinda like indexedDB, remember pouchDB have not conflict resolution, no built-in conflict resolution logic, pouchyDB is simply edit the same document offline and later sync.

remember pouchyDB using document database, while indexedDB structure level is using object stores

Data Model

searching on internet, for disaster have 2 important data, p2p report and p2p pinpoint place and I get this data from FEMA (https://www.fema.gov/api/open/v2/DisasterDeclarationsSummaries), so for this simple approach I made example of data Model

p2p report this is when people want to sent alert, give information, or incident report, here is the basic data model, and people could verify if the report is actually true or not

{
  "_id": "report:short-uuid",
  "type": "report",
  "category": "flood",
  "severity": "high",
  "location": {
 "lat": -6.2088,
 "lng": 106.8456
  },
  "description": "Flooded street, water up to knee",
  "status": "active",
  "verifiers": [
 {
   "verifiedBy": "device:userid",
   "status": false,
   "description": "benar kejadian"
 }
  ],
  "createdAt": "2025-01-01T08:00:00Z",
  "updatedAt": "2025-01-01T08:00:00Z",
  "createdBy": "device:abc123",
  "offlineCreated": true
}

p2p map pinpoint this is just suggestion for a data model map pinpoint

{
  "_id": "place:short-uuid",
  "type": "place",
  "placeType": "shelter",
  "name": "Shelter Pengunsi Masjid Nurul Haq Parupuk Tabing",
  "location": {
 "lat": -0.8817378,
 "lng": 100.3441077
  },
  "capacity": 200,
  "current_capacity": 120,
  "resources": {
 "food": true,
 "water": true,
 "medical": true,
 "bed": false,
  },
  "lastCheckedAt": "2025-01-01T07:30:00Z",
  "verifiedBy": null,
  "createdAt": "2025-01-01T06:00:00Z",
  "updatedAt": "2025-01-01T07:30:00Z"
}

Sync State document this data model purpose to track replication statuys

{
  "_id": "_local/sync_state",
  "type": "sync_state",
  "lastPushSeq": "3456",
  "lastPullSeq": "3448",
  "lastSyncAt": "2025-01-01T09:30:00Z",
  "conflictsDetected": 2
}

IMPORTANT - Conflict Resolution

we need to make some ruleset on data, to prevent the conflict data, what happen when data conflict happen ? in some cases latest data will be replaced by new data, so to prevent this we need to make some rule based on domain based conflict resolution.

here is some oveview of the data type:

Data type	Conflict occurance	Strategy
Map Pinpoint	Common	only append, or create only with new lang&lot
Report	Rare	Field level merge

Append only

why ? multiple people will report the same dissaster, what todo ? always create a new one, never edit an existing report, and merging the verifier

Field Level merge

why ? user update some field, merge usually safe what todo? this will be help when new status resource is added

!!IMPORTANT NOTES!! for some notes it possible to make auto resolution, usually by doing scheduled or manually operated by operator.

3 Role based override verification

this feature is also important in order to choose which data is actually true

Role	Permission
Anonymous	Can Report, Can pinpoint
volunteer	update report, update pinpoint

simple approach you can using verified=true to set by trusted role

another notes
- avoid trying to merge everything
- proper design data so that conflict rarely occur
- last write win only when safe

Technology

Offline data layer (indexedDB) usually used by browser native
service worker
sync mechanism
- bi-directional sync (example:https://github.com/mikeal/couchup )
- retry on failure
sync trigger
- app startup
- network available
- manual user action
database couchDB 3.x
- remember https enabled
- and secured with credential
database configuration
- separate database by domain, report, places, etc
data integrity
- timestamp all document

Software Risk Calculator

Sat, 07 Sep 2024 05:55:00 +0000

Risk Scoring Calculator

Vulnerability Score

Confidentiality:

Integrity:

Availability:

Impact Score

Business Dependency:

Technical Dependency:

Frequency Score

Recoverability Score

Risk Score: -

Formula:

Axolotl - Easy Pentesting Record

Wed, 13 Apr 2022 09:01:00 +0000

Project: https://github.com/k1m0ch1/axolotl

Big Brother Test - Application Reverse Engineering to check the privacy

Tue, 21 Sep 2021 09:01:00 +0000

Project: https://github.com/k1m0ch1/big-brother-test video on youtube: https://www.youtube.com/watch?v=KExoyqgB1Bk Talk on twitter Thread: https://twitter.com/BukanYahya/status/1442354055125225477

Jemawa - menti choose spammer

Tue, 10 Aug 2021 09:01:00 +0000

Project: https://github.com/k1m0ch1/jemawa-menti-choices-spammer

Vaksin Jakarta API

Fri, 30 Jul 2021 09:01:00 +0000

Project: https://github.com/k1m0ch1/vaksin-jakarta Talk on twitter Thread: https://twitter.com/mathdroid/status/1411712464916414467