複数のセキュリティ企業によると、火曜早朝、攻撃者がGitHubのメンテナーアカウントを乗っ取り、自己複製型のマルウェアを解き放ちました。この攻撃はわずか4時間足らずのうちに440種類を超えるnpmパッケージに悪意のあるコードを注入したとされています。
このワームは、TeamPCPが5月に公開したオープンソースのMini Shai-Huludリポジトリをベースに構築されたもので、当初は月間6億回以上のダウンロード数を誇るデータ管理インターフェースソフトウェアパッケージ「keyv」に仕掛けられました。攻撃者はその後30分の間に、同じメンテナーが管理するcacheable、flat-cache、file-entry-cacheなどの追加パッケージを次々と侵害していきました。
攻撃はその後、他のメンテナーにも波及し、最終的には「合計で月間20億回を超えるインストール数」を持つ860以上のパッケージが侵害される事態となったと、Aikido Securityのマルウェア研究者イリヤス・マカリ氏はブログ投稿で述べています。
Wizの研究者はCyberScoopに対し、最初の4時間で膨大な数のクラウド環境やコード環境に波及した第一波以降、新たな悪意のあるパッケージは確認されていないと述べました。
「これは最も重大な初期侵害であり、ルートパッケージだけで週間1億5,500万回を超えるダウンロードがあります」とWiz Researchはメールで述べています。
Wizによると、keyv、flat-cache、file-entry-cacheを含む侵害されたパッケージの一部は、全クラウド環境の46%以上に存在しているといいます。「比較すると、以前のShai-Hulud 2.0キャンペーンでは、最も普及していたパッケージでも環境の約28%にしか存在していませんでした」と同社は述べています。
Wiz Researchはさらに、「最終的な被害額や影響度が過去の攻撃を上回るかどうか、あるいはパッケージエイジングなどの強化策の導入や、比較的攻撃性の低いMini Shai-Hulud系コードをベースにしていることが最終的な被害を軽減するかどうかは、時間が経てば明らかになるでしょう」と付け加えました。
複数のセキュリティ企業の研究者たちが、拡大を続ける攻撃の監視に乗り出し、被害の可能性がある組織が自社システム内の悪意ある活動を調査できるよう、侵害の痕跡（IOC）を公開しました。
今回の攻撃で使われたMini Shai-Hulud亜種は、npm、GitHub、AWS、CI(継続的インテグレーション)の認証情報を含む機密データを大量に収集します。研究者によれば、AI関連の設定ファイルや暗号資産ウォレットも窃取するとのことです。
Microsoft、Aikido、Socket、Wizはいずれも、侵害されたすべてのパッケージで同一のペイロードとパターンが観測されたと報告しており、これは単一の攻撃者、あるいは単一の脅威クラスターが複数の盗まれたトークンを使ってこのサプライチェーン攻撃を実行したことを示しています。
今回のマルウェアにはいくつか新機能が見られたものの、Mini Shai-Huludの特徴である中核的な仕組みはそのまま維持されていました。
「今回の進化は、これまでの攻撃の波で見られてきたものと一致していますが、TeamPCPの関与を確信を持って裏付ける明確な証拠はまだありません」とWiz Researchは述べています。
この悪名高い脅威アクターについて、Googleは以前CyberScoopに対し、少なくとも一部の攻撃時には南アフリカに所在していた単独の実行犯によるものと見ていると説明していました。この攻撃者は今年初め、4か月足らずの間に1,000を超えるソフトウェアパッケージを侵害し、悪意のあるコードを注入していました。
翻訳元: https://cyberscoop.com/supply-chain-attack-malware-mini-shai-hulud-teampcp/
