セキュリティ研究者らは、パッケージミラーサービスを悪用して難読化されたフィッシングページをホストする、24件の悪質なnpmパッケージを発見しました。
これらのパッケージは、開発者がダウンロードやインストールを行っても端末を感染させるわけではありません。その代わり、このキャンペーンは信頼されているnpm関連インフラを、ソーシャルエンジニアリングのプラットフォームへと変貌させています。
OX Researchによれば、各パッケージには同一のHTMLファイルが含まれており、削除されるまでに週50件から300件のダウンロードを稼ぐのが一般的だったといいます。
攻撃者は、パッケージが自動的にunpkg、Yarn、npmmirror、Tencentなどのミラーへ複製されるnpmの配布エコシステムを利用しています。
一部のミラーは、圧縮された.tgzアーカイブだけでなく、パッケージに含まれる個々のファイルも公開しています。そのため、HTMLファイルへの直リンクによって、ミラー自身のドメインからページを表示させることが可能になります。これにより攻撃者は、HTTPSに対応した信頼性の高いドメインを、フィッシングコンテンツ用の無料フロントエンドホスティングとして利用できてしまいます。
確認された一例は、unpkg上のndmxchdjxn2パッケージから直接アクセスできるindex.htmlページです。このページには偽のCloudflare認証プロンプトが表示されていました。
その狙いは、npmのインストールを通じて訪問者を侵害することではなく、共有リンク経由でアクセスしてきたユーザーを、攻撃者が用意した指示やリダイレクトに従わせることにあります。
このHTMLには、偽の認証画面を表示するコードと、リモートサービスに接続する難読化されたJavaScriptが含まれています。初期のバージョンは、Microsoftになりすましたタイポスクワッティングドメインであるlogin[.]microsofte[.]liveに問い合わせを行っていました。このドメインは後にブロックリストに登録されました。
より新しいサンプルでは、正規のキー・バリュー型ストレージサービスであるapi.keyval.orgが使用されています。このサービス自体は悪意あるものではありません。しかし攻撃者は、これを利用して暗号化された値を取得し、ブラウザ上で復号したうえで、その結果得られたリダイレクト先URLを読み込ませています。
分析時点では、このロジックによって訪問者は本物のChatGPTのウェブサイトにリダイレクトされていました。しかし攻撃者は、保存されている値をいつでも書き換えることができ、被害者をClickFixページやその他のフィッシング先へ誘導することも可能です。
このキャンペーンには、2026年8月4日から2026年8月24日の間に公開されたパッケージが含まれています。Microsoftタイポスクワッティング手法に関連する初期の10件のパッケージはすでに削除されていましたが、分析時点で14件はまだ公開されたままでした。
@worrisome/reutil、mndsxcusiwlk1、mobiwaefhxc3を含む、より新しいパッケージ群は、keyvalベースのロジックを採用していました。
この手法は、検知を難しくしています。ミラーのURLは正規のパッケージ配信サービスに属しているため信頼できるように見える一方で、そこでホストされている特定のファイルは悪意あるものである、という状況が生まれるためです。また、npmレジストリから削除されたとしても、サードパーティのミラーに保存されたコピーがただちに削除されるとは限りません。
セキュリティチームは、通常のパッケージダウンロードとは無関係なリクエストが発生している場合、ミラードメインのURLをフィッシングインフラの可能性があるものとして扱うべきです。
OXによれば、正規の開発トラフィックを広範にブロックすることなく、該当するミラーのURLをフィッシング検知やURLレピュテーションのワークフローに追加すべきだとしています。
防御側は、特にメール、チャット、コラボレーションプラットフォーム経由で届いたリンクについて、npmミラー上の.htmlファイルへの直接リクエストがないか、プロキシ、セキュアウェブゲートウェイ、DNSのログを確認する必要があります。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す場合は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/malicious-npm-clickfix-campaign/
