Amazon Threat Intelligenceは、一連の大規模なNPMサプライチェーン侵害を、朝鮮民主主義人民共和国(DPRK)と関連のある脅威アクターに結び付けました。
今回のキャンペーンは信頼されているオープンソースのJavaScriptライブラリを標的とし、Windows、macOS、Linuxシステムに感染可能なマルウェアを配信していました。
SAPPHIRE SLEET、STARDUST CHOLLIMA、BlueNoroff、CageyChameleon、Alluring Piscesといった名称で追跡されているこのアクターは、人気の高いaxios、debug、chalk、そしてtypo-cryptoパッケージを侵害したとされています。
今回の活動は、攻撃者が信頼された単一の依存関係を悪用するだけで、数千に及ぶ下流の開発者やビルドサーバー、本番環境に到達できることを浮き彫りにしています。
Amazonは、金銭目的のDPRK関連グループが一連のキャンペーンを実行したと中程度の確信度で評価しています。
攻撃者は信頼されているパッケージメンテナーへのアクセスを得るためにソーシャルエンジニアリングを用い、その後、正規に見える悪意あるアップデートを公開したと報じられています。
最新のパッケージリリースを自動的にインストールしていた組織は、気づかないうちにトロイの木馬化されたバージョンを受け取ってしまう可能性がありました。この手法により、日常的な依存関係の更新が初期アクセスの手段に変わってしまいます。
確認された最も早い活動は、2025年3月のtypo-cryptoNPMパッケージに関するものでした。調査担当者は、正規のcore-jsパッケージに似せて作られたcore.jsという名前の悪意あるファイルを発見しています。
このコードは、0098273で始まるハッシュ値を受け取った場合のみ起動する仕組みでした。起動すると、ハードコードされたコマンド&コントロールサーバーに接続し、第二段階のペイロードをダウンロードして、OS固有のマルウェアを実行します。
ペイロードの挙動はWindows、macOS、Linowsそれぞれに合わせて調整されていました。また、ファイルベースの永続化も用いており、システムの再起動後や後続の実行でも悪意あるコードが動作し続けられるようになっていました。
Amazonによると、このマルウェアはBase64エンコーディングや、01042025をキーとするXOR暗号化など、複数の難読化レイヤーを使用していました。
この手法により、悪意あるロジックは実行時まで隠されるため、単純な静的解析による検出が一層困難になります。
関連する痕跡としては、ドメインnpmjs[.]storeとIPアドレス216[.]74[.]123[.]126が挙げられます。トロイの木馬化されたtypo-cryptoパッケージとcore.jsファイルは、Open Source VulnerabilitiesデータベースにMAL-2026-3400として記録されています。
typo-cryptoに関する活動はダウンロード数が限られており、初期のテストキャンペーンとして行われた可能性があります。
しかし、そのコードパターンやインフラの痕跡、配布方法は、その後発生した、はるかに広く利用されているパッケージを巻き込んだ侵害と重なる部分があるとされています。
2026年3月のaxiosに関する事件は、axiosが週間1億ダウンロード以上を記録していることから、とりわけ重大なものでした。
これほどの規模のパッケージが侵害された場合、開発者のワークステーションやCI/CDパイプライン、クラウドワークロード、そして企業アプリケーションが急速に危険にさらされる可能性があります。
近年のNPMへの攻撃は、単純な悪意あるインストールスクリプトにとどまらない段階に進んでいます。脅威アクターは、有害な機能を一見無害に見える複数のパッケージに分割して仕込む手法を増やしています。
あるパッケージには暗号化されたデータが含まれ、別のパッケージには復号ロジックが含まれ、さらに別のパッケージが最終的なペイロードをダウンロードまたは実行する、といった構造です。
このような断片化された設計により、パッケージ単位のスキャンでは、単独では明確に悪意があるように見える依存関係が存在しないため、検出をすり抜けてしまう可能性があります。
セキュリティチームは、依存関係グラフ全体、パッケージ間の相互作用、ライフサイクルスクリプト、外部へのネットワーク呼び出し、そして通常とは異なる実行時の挙動を精査する必要があると、Amazonは述べています。
攻撃者は信頼構築にも時間をかけています。悪意あるコードを仕込む前に、役立つパッケージを公開したり、バグを修正したり、貢献実績を積み重ねたりして、ユーザーの信頼を獲得することもあります。
これは、XZ Utilsバックドア事件で見られた長期にわたるソーシャルエンジニアリングの手法と共通しています。
ANY.RUNでSOC調査の死角をなくし、脅威をより早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/trojanized-npm-drops-cross-platform-rat/
