AsyncAPIのnpmエコシステムがサプライチェーン攻撃の被害に遭い、侵害されたGitHub Actionsワークフローを悪用してMiasma関連のリモートアクセス型トロイの木馬（RAT）が配布されました。
悪意あるリリースはプロジェクトの正規npm名前空間の下に公開されており、開発者のデバイス、CI/CDランナー、ドキュメントシステム、自動ビルド環境が危険にさらされた可能性があります。
AsyncAPIは、非同期・イベント駆動型APIを構築するためのオープンソース仕様とツール群を提供しています。
同プロジェクトのジェネレーターツールは、API定義をドキュメント、図表、ソースコードのテンプレート、アプリケーションの雛形に変換するもので、Apache Kafka、MQTT、AMQP、WebSocketsと組み合わせて利用されることが一般的です。
AsyncAPIのパッケージは開発者のエンドポイントやCI/CDシステム上で実行される場合があるため、侵害が発生すると機密性の高い資産が危険にさらされることになります。
こうした環境には、GitHubトークン、npm公開用の認証情報、クラウドキー、SSHキー、デプロイ用のシークレット、ソースコードへのアクセス権などが保存されていることが少なくありません。
セキュリティ研究者らの報告によると、攻撃者は信頼できないプルリクエストの内容と特権的なワークフローコンテキストが絡む、脆弱なGitHub Actionsの設定を悪用したとのことです。
これにより脅威アクターは、AsyncAPIの自動化用IDを取得または悪用し、プロジェクトのリポジトリ内で不正な変更を行うことが可能になりました。
攻撃者は、AsyncAPIの正規のリリースプロセスに紐づくブランチに悪意あるコードを追加しました。その後、プロジェクトの信頼された自動化システムが、改ざんされたパッケージをビルドし、実際のAsyncAPI npm名前空間を通じて公開してしまいました。
この手口により、パッケージは特に危険なものとなりました。今回のリリースは、怪しい新規アカウントやタイポスクワッティングされたパッケージ名から公開されたものではありません。
正規のプロジェクトのワークフローから公開されたものであるため、基本的な信頼性チェックをすり抜けやすい状態でした。
また、注入されたコードはpostinstallのような一般的なnpmライフサイクルスクリプトを避けていました。代わりに、影響を受けたモジュールがインポートされた際に実行される仕組みになっていました。
つまり、影響を受けたパッケージをインストールしても即座にマルウェアが実行されるわけではなく、開発者がドキュメントを生成したり、アプリケーションを実行したり、CI/CDビルドを開始したりした後になって初めて起動する可能性があるということです。
第1段階のJavaScriptペイロードは、独立したNode.jsプロセスを起動し、暗号化された第2段階のコンポーネントをIPFSからダウンロードしていました。
研究者らはこの挙動を、認証情報の窃取、永続化、リモートコマンドの実行、ファイル操作、ペイロードの更新、攻撃者のコマンド＆コントロール（C2）通信に関連するマルウェア「Miasma」と結びつけています。
このマルウェアは、Ethereumのスマートコントラクトをフォールバック用の設定情報源としても利用していました。
これにより攻撃者は、侵害されたパッケージを再公開することなく、C2エンドポイントやNostrリレーの詳細情報、BitTorrent DHTのブートストラップ情報を更新できるようになっていました。
こうした分散型のインフラを利用することで、テイクダウンやブロック対応がより困難になるとCato Networksは指摘しています。
Miasmaにはワーム的な挙動に関連するコードが含まれているものの、今回AsyncAPIで観測された構成では主にリモートアクセスツールとして動作していました。
したがって、影響を受けたすべての環境で自動的に拡散したと決めつけるのではなく、このペイロードをMiasma関連のRATと表現する方が正確です。
今回の攻撃活動は、Mini Shai-HuludおよびTeamPCPと呼ばれる脅威クラスターが関与した過去のキャンペーンと共通する手口を持っています。
これらの攻撃活動は、ソフトウェアの発行元、CI/CDシステム、クラウドの認証情報、パッケージレジストリ、信頼されている開発ツールを標的としてきました。ただし、研究者らは今回のAsyncAPIへの攻撃をTeamPCPによるものと断定的には特定していません。
より強固なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合
翻訳元: https://cyberpress.org/asyncapi-attack-delivers-miasma-rat/