Mini Shai-Hulud が再び出現、数百のnpmパッケージを侵害

Mini Shai-Huludとして知られる自己複製マルウェアキャンペーンが再び浮上し、今回は数百のnpmパッケージに組み込まれています。それを背後で操るTeamPCPと特定される脅威行為者は、同じキャンペーンの以前の波とリンクされており、この最新版は以前の波よりも機能が豊富です。

ペイロードを分析した研究者は、自律的に拡散し、オペレーティングシステムレベルで永続的なバックドアをインストールし、最も一般的な最初の対応（パッケージの削除）に耐えるよう特に設計されたワームを発見しました。

攻撃の仕組み

マルウェアは、開発者のローカル環境内であろうとCI/CDパイプライン内であろうと、影響を受けたソフトウェアパッケージがインストールされた瞬間に実行されます。フックが他の任何のステップの前に発火し、ペイロードにマシンへの即座のアクセスを与えます。

GitHubトークン、npmトークン、SSHキー、クラウドプロバイダーの認証情報、データベース接続文字列を収集します。自動化されたビルド環境では、パイプライン自体の信頼できる識別情報を使用して発行認証情報を取得し、正当なメンテナーの名前でレジストリに汚染されたパッケージバージョンをプッシュすることを許可します。盗まれたデータは攻撃者が制御するGitHubリポジトリに送信されます。

発行トークンを盗んだ後、マルウェアはそのトークンがアクセスできるすべてのパッケージをチェックし、コードをそれらのパッケージに追加し、メンテナーのアカウントを使用して新しい汚染されたバージョンを発行します。1つの感染したCIランナー（プロジェクトのコードを自動的にビルド、テスト、発行するマシンまたは仮想サーバー）は、そのランナーが発行することを許可されているすべてのパッケージを汚染する可能性があります。また、開発者のコンピューターで他のNode.jsプロジェクトを検索し、それ自体をそれらにコピーするため、1つの感染したインストールはワークステーション全体を侵害する可能性があります。

「影響を受けたパッケージのいずれかがお使いの環境で実行された場合、シークレットがローテーションされ、永続的なアーティファクトが削除され、最近の発行活動がレビューされるまで、マシンまたはランナーを公開されたものとして扱ってください」とAikido Security研究者はブログ投稿で述べています。 

パッケージの削除では不十分

研究者は、標準的な依存関係のロールバックが攻撃者のアクセスをそのまま残すことを発見しました。マルウェアは開発者ツール設定にバックドアを組み込みます。特に.vscode/tasks.jsonと.claude/settings.jsonで、npmパッケージが削除されてもディスク上に残ります。これらのファイルは監査とクリーニングが必要で、攻撃者の足がかりを排除する必要があります。

ペイロードはまたOSレベルのバックグラウンドサービスをインストールします：Linux上のsystemdユーザーサービス、macOS上のLaunchAgent。どちらも、kitty-monitorと呼ばれるバックドアを実行し、署名されたリモートコマンドについて1時間ごとにGitHubのコミット検索をポーリングします。2番目のプロセスであるgh-token-monitorは、盗まれたGitHubトークンを60秒ごとにチェックし、1つが失効した瞬間に攻撃者に警告します。攻撃者は、元の感染が発見された後でも、アクセスを維持し、被害者の対応をほぼリアルタイムで監視することができます。

キャンペーンは継続中です。ワームが感染環境から盗まれたトークンを使用して伝播するため、影響を受けたパッケージの数は増加すると予想されます。研究者は、影響を受けたバージョンをインストールしたマシンまたはパイプラインは完全に侵害されたものとして扱うべきであると警告しています。

先週、TeamPCPはマルウェアで他の有名なソフトウェアライブラリをターゲットにしました。TanStack、UiPath、MistralAIを含みます。

これは進行中のストーリーであり、情報が入手可能になるにつれ更新されます。