npmレジストリを狙った大規模なサプライチェーン攻撃が発生し、ロシア系とみられる脅威アクターがわずか48時間で700件以上の悪性パッケージを公開しました。
研究者のPaul McCarty氏がこのキャンペーンを文書化しており、WEL1DROPPERの名で追跡されているこの攻撃キャンペーンでは、パッケージ数がその後1,000件を超えるまでに増加しています。
WEL1DROPPERは、AIスロップスクワッティングの新たな進化形です。この手口では、攻撃者はコーディングアシスタントが無防備な開発者に提案しがちな、ランダム生成でAIが幻覚として作り出したパッケージ名を登録します。
ロシア系ハッカーがAIスロップスクワッティングを悪用
preinstallやpostinstallのライフサイクルフックを悪用する典型的なnpmサプライチェーン攻撃とは異なり、これらのパッケージにはインストールスクリプトが一切不要です。
READMEには開発者にrequire("checkout-mobile-bnpl")という呼び出しを実行するよう単純に指示するだけで、このインポート一つで、同梱された_helpers.jsファイルが自動実行され、感染チェーンが起動します。
これらのパッケージは小規模なモバイルSDKを装っており、偽のinit()、version()、configure()メソッドまで備える一方で、実際のペイロードは何の変哲もないエクスポート文の下に埋め込まれています。
インポートされると、ダウンローダーは被害者のOSとCPUアーキテクチャを特定し、3つのローテーションするCloudflare Workersホストのいずれかから、HTTPS経由で該当するネイティブペイロードを要求します。
3回とも試行が失敗した場合、マルウェアは隠密通信チャネルにフォールバックし、wel1.ruのプラットフォーム別サブドメイン下のDNS TXTレコードに保存されたBase64エンコードのチャンクから、ペイロードを再構築します。
マルウェア除去サービス
この二系統通信の設計は重要な意味を持ちます。既知のトンネリングシグネチャのみを対象に調整されたDNS監視ツールでは、一見普通に見えるTXTルックアップを見逃してしまう可能性が高いためです。
投下される実行ファイルは、偽装されたファイル名で保存されます。Linux・macOSでは.cache_<hex>、Windowsではdotnet_diag_<hex>.exeという名前が使われ、デタッチされたバックグラウンドプロセスとして起動されます。偽の「analytics」マーカーファイルは、感染チェーンの再トリガーを防ぐための6時間レート制限スイッチとしてのみ機能します。
ネイティブバイナリの解析によると、Linux向けペイロードはUPXでパックされた静的リンクのELFファイルであり、macOS向けペイロードはIntelとApple Siliconの両方に対応するユニバーサルMach-Oバイナリです。
macOS向けステージは特に高度で、lldb、frida、dtraceといったデバッガーの有無を確認し、VMwareの痕跡や低メモリ環境をスキャンした上で、偽装したLaunchAgent(com.apple.windowserver.helper.plist)を永続化用にインストールしてから、第3段階のペイロードを取得します。
Linuxバイナリの最終段階では、実際の脅威アクターに悪用される事例が多いオープンソースのレッドチーム向けコマンド&コントロールフレームワークであるSliverインプラントとみられるものが配信されると報告されていますが、これは未確認です。
McCarty氏は、.ruのコマンド&コントロールドメインや、tcsbank.ru、cloudpayments.ruといったロシアの金融機関を参照するXOR難読化された文字列(おとりのヘルスチェック通信に使われているとみられる)を根拠に、WEL1DROPPERを中程度の確信度でロシア系アクターに帰属させています。
OpenSourceMalwareは、「oob」と名付けられたインフラ、偽のテレメトリ偽装、類似のキルスイッチ機構といった共通の手口に基づき、WEL1DROPPERを2026年4月から5月にかけて250件以上のnpmパッケージを送り込んだ、以前のMoikaキャンペーンと関連付けています。
今回のキャンペーンは、インストールスクリプトの制限だけではnpmマルウェアを阻止できないことを浮き彫りにしています。開発やテスト中に一度require()を呼び出すだけで、感染が引き起こされてしまうのです。
防御側には、静的なIPブロックリストよりも、特定されたドメイン、DNSクエリのパターン、投下ファイルの命名規則を優先的に監視することが推奨されます。背後にあるCloudflare Workersのインフラは動的であり、いつでもローテーションし得るためです。
新たなフィッシングやマルウェアが企業に被害を及ぼす前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/russian-hackers-use-ai-slopsquatting/
