脅威アクターがnpmおよびそのミラーを悪用し、Cloudflareの CAPTCHAになりすました悪質なHTMLページをホスティングして、訪問者を攻撃者が管理するウェブサイトへリダイレクトさせていることが分かりました。
この手口は7月にセキュリティ研究者のinf0stache氏がすでに発見しており、同氏は偽のCloudflare検証ページを使って訪問者を悪質なドメインへリダイレクトする「china_airlines」というnpmパッケージを確認しています。この件はIntelFusionsによっても報告されていました。
その後の報告では、OX Securityが同じ悪質なHTMLページを含む24個のnpmパッケージを発見しました。これらはnpmおよび各種ミラーサイトでホスティングされていました。
ただし、最近見られる一般的なnpmのサプライチェーン攻撃とは異なり、このパッケージをインストールしても開発者のコンピューターがマルウェアや情報窃取ツールに感染することはありません。
その代わりに、攻撃者はnpmレジストリを悪質なHTMLページの無料ストレージとして利用しています。これらのページはUNPKGやnpmmirrorといったミラーリングプラットフォームによってコピーされます。
こうしたプラットフォームの一部では、npmパッケージ内の個別ファイルをブラウザから直接アクセスできるため、開発者向けサイトが事実上、フィッシングページのための無料ウェブホスティングとして利用されてしまうのです。
「このマルウェアはnpmパッケージ内の単一のHTMLページに過ぎず、ダウンロードすること自体に害はありません。しかし脅威アクターがnpmを利用する目的は、それをインストールした開発者に感染させることではなく、レジストリとそのミラーを、マルウェアにとって安全で信頼された保管場所として使うことにあります」とOX Securityは説明しています。
BleepingComputerは本キャンペーンで確認されたパッケージの一つを調査したところ、含まれていたファイルはindex.htmlページとpackage.jsonファイルの2つのみで、package.jsonにはこのHTMLファイルがパッケージのメインファイルとして指定されていました。
UNPKGがこのパッケージをミラーリングすると、このHTMLファイルは https://unpkg[.]com/[email protected]/index[.]html のようなURLを使ってブラウザから直接開けるようになります。
これにより、攻撃者のHTMLは脅威アクターが管理するインフラではなく、正規のunpkg.comドメインからブラウザ上で描画されることになり、悪質なサイトをブロックしているはずのセキュリティソフトウェアを回避できる可能性があります。
OXによれば、この手口はnpmミラーを事実上「悪質なHTMLページ、さらには他のペイロードのための無料フロントエンドホスティング」に変えてしまうものだといいます。
リダイレクターとして機能する悪質なHTML
この悪質なHTMLは、Cloudflareのセキュリティ検証ページになりすまし、Cloudflareの正規のTurnstile CAPTCHAサービスを埋め込んでいます。
検証が成功したか否かにかかわらず、このページは高度に難読化されたJavaScriptを実行し、訪問者を別のサイトへリダイレクトします。
OX SecurityのリサーチチームリーダーであるMoshe Siman Tov Bustan氏がBleepingComputerに語ったところによると、初期のバージョンでは7月にmicrocloud[.]homesへ、8月にはlogin[.]microsofte[.]liveへリダイレクトしていたとのことです。研究者らによると、7月の最も早い時期のリダイレクトの一部は、最終的に正規のMicrosoft Outlookメールログインサイト(https://outlook.office.com/mail)に解決されていました。
BleepingComputerはUNPKG経由でホスティングされている悪質なページの一つをテストし、現在も訪問者を当該ドメインへリダイレクトしていることを確認しました。
このドメインは現時点では稼働していませんが、今後偽のMicrosoftログインページをホスティングするために使われる可能性があります。
研究者らによると、一部のパッケージは、キーバリューペアを保存する正規のプラットフォームであるapi.keyval.orgを利用する別のリダイレクト方式に切り替えているといいます。
研究者らによれば、この新しいコードはサービスから暗号化された値を取得し、ブラウザ上で復号したうえで、訪問者を復号後のURLへリダイレクトします。
これにより、攻撃者はnpmパッケージを変更・再公開することなく、リモートでリダイレクト先URLを変更できるようになります。OXの調査時点では、リモートで設定された転送先は正規のChatGPTのウェブサイトへ訪問者をリダイレクトしていました。
OXは、この値がいつでもClickFixや他のフィッシングページを指すよう変更され得ると警告していますが、BleepingComputerが確認したnpmホスティングのHTMLはClickFix攻撃を実行するものではありませんでした。
これらのページは、フィッシングページやマルウェアのダウンロード、あるいは攻撃者が管理する他の転送先へ訪問者をリダイレクトする可能性もあります。
OXはまた、npmパッケージが公式のnpmレジストリから削除された後も、ミラー上には残り続ける可能性があると警告しています。
「脅威アクターは、マルウェアを配布するためだけでなく、正規のインフラをペイロードやデータの保管場所として使うために、新しく斬新な手法を次々と見つけては利用し続けています」とOXは結論付けています。
研究者らは、npmミラードメインへの直接的なHTMLリクエストを潜在的に不審なものとして扱うことを推奨しています。
