人気のAIプラットフォームHugging Faceを活用して第二段階のマルウェアを配布する、高度なnpmサプライチェーン攻撃が確認された。
「terminal-logger-utils」として知られる悪意あるパッケージは、高機能なNode.jsインプラントのドロッパーとして機能する。
このマルウェアは、Telegramセッション、SSHキー、暗号資産ウォレット、環境変数など、開発者や企業の機密データを標的とする。
さらに、AWS、GCP、Azureといった主要プロバイダーに関連するクラウド設定も特に狙われている。攻撃者は正規かつ広く信頼されているプラットフォームをペイロードのホスティングに利用することで、多くの標準的なネットワークフィルタリングツールをすり抜けることに成功した。
悪意ある動作はコアパッケージ単体では発動せず、巧妙に設計された依存関係チェーンを通じて実行される。
3つの依存パッケージがマルウェアをインポートし、何も知らない開発者がインストールした際に自動的に感染を開始する。これらのトリガーパッケージは「pretty-logger-utils」、「ts-logger-pack」、「pinno-loggers」と名付けられている。
感染プロセスは、ダウンロードされたモジュールのpackage.jsonファイル内に隠されたポストインストールフックから始まる。
このフックは自動的にutils.cjsを起動する。これは難読化されたマルウェアドロッパーであり、現在のオペレーティングシステムを確認した後、Hugging Faceに接続して適切なバイナリをダウンロードする。
第二段階のペイロードがダウンロードされると、被害者のマシン上で直接実行される。このペイロードは、包括的なデータ窃取を目的とした悪意あるJavaScriptコードを埋め込んだ、バンドル済みのNodeシングル実行ファイルである。
実行されると、プライマリのC2タスクとは独立して、バックグラウンドで並列コレクターループが動作する。
このループはプラットフォームのログ記録、クリップボードのポーリングを継続的に処理し、/api/validate/keyboard-eventsに直接HTTP POSTリクエストを送信する。
マルウェアはユーザーの認証情報に特に注目し、「pwdKeyString」という変数でパスワードフィールドへの入力を追跡する。また、ドライブ上のキーワードに一致するファイル、ブラウザのログインデータベース、暗号資産ウォレットを徹底的に探索する。
窃取されたデータのアーカイブはHugging Faceのデータセットにアップロードされることが多く、乗っ取られたTelegram Desktopのセッションは攻撃者が管理するHTTPサーバーに直接送信される。
OXリサーチの報告によると、コアパッケージをアップロードした主要な脅威アクターは「jpeek895」というユーザー名で活動している。
DPRKリサーチプラットフォームkmsec.inにて報告された脅威インテリジェンスによれば、英国においてこのアカウントは以前、北朝鮮の国家支援活動に関連する類似のnpmパッケージをアップロードしていた。
依存パッケージを配布しサプライチェーン攻撃を隠蔽するため、脅威アクターは別々のnpmアカウント（具体的には「pvnd3540749」、「yggedd817513」、「jpeek886」）を使用した。
これらのパッケージにさらされた可能性のある組織や開発者は、自身の環境が重大な侵害を受けたものとして対処しなければならない。
早急な対応として、影響を受けたシステムを隔離し、さらなるデータ漏洩が発生する前に脅威を無力化することが求められる。
翻訳元: https://cyberpress.org/hugging-face-hosts-malware/