週間ダウンロード数が約15万件に上るnpmパッケージ@7nohe/openapi-react-query-codegenが、研究者らがMini Shai-Huludの活動に関連付ける悪意あるキャンペーンによって侵害されました。
Socket Threat Research Teamの調査によると、攻撃者は2026年8月28日、維持されているすべてのリリースラインにわたって、このパッケージの悪意あるバージョン10種類を公開しました。悪意あるバージョンは現在もインストール可能な状態にあり、npmのlatestタグはバージョン3.0.4を指しています。
侵害されたリリースは、パッケージのインストール時に攻撃者が制御するコードを実行します。3FWCvzduYZg.jsという名前の同梱JavaScriptローダーが、第2段階のペイロードを復号して起動する仕組みです。
このマルウェアは、クラウド認証情報、パッケージレジストリのトークン、GitHub Actionsのシークレット、AIエージェントの設定情報を探索するよう設計されています。さらに自己増殖機能も備えており、他の開発環境へ侵害を広げる助けとなります。
影響を受けるバージョンには0.5.4、0.5.5、1.6.3、1.6.4、2.2.1、2.2.2、3.0.3、3.0.4のほか、悪意あるプレリリース版2種類が含まれます。安全性が確認されている最後のバージョンは0.5.3、1.6.2、2.2.0、3.0.2です。
このマルウェアは複数の実行手法を使用します。初期の悪意あるリリースはbinding.gypを悪用し、難読化されたPython式を使ってos.system()に到達し、JavaScriptペイロードを実行します。
後のバージョンではpreinstallスクリプトも追加されており、パッケージがインストールされるたびに別の実行トリガーとして機能します。メインのJavaScriptファイルは約5.7MBのサイズで、シングルバイトのXOR難読化が施されています。
このファイルは埋め込まれたAES-128-GCM形式のペイロードを復号し、一時ファイルに書き出して実行した後、その一時ファイルを削除します。
このマルウェアは自身をデタッチドプロセスとして再起動することも可能で、元のインストールプロセスが終了した後も動作を継続できます。
その認証情報窃取機能は多岐にわたります。
マルウェアはファイル、プロセスメモリ、環境変数、クラウドメタデータをスキャンします。具体的にはGitHub、npm、PyPI、RubyGems、JFrogの認証情報のほか、クラウドおよびCI/CDのシークレットを標的として探索します。
Linux環境では/procを通じてプロセスメモリを検査できるため、実行中の開発ツールやパッケージマネージャー、CIエージェントが保持する認証情報を復元できる可能性があります。
窃取された情報は圧縮・暗号化された後、攻撃者が制御するGitHubリポジトリを経由して送信されます。このペイロードは有効な認証情報を悪用してnpm、JFrog、RubyGemsのパッケージを汚染することもでき、条件付きモードではPyPIのタイポスクワッティングにも対応しています。
研究者らは、攻撃者がGitHub Actionsも標的にしていたことを発見しました。侵害されたワークフローはリポジトリのワークフローを改変し、リポジトリのシークレットを収集できる可能性があります。
さらにこのマルウェアは、AIコーディングアシスタントの設定を含む開発ツールの構成情報を探索し、開発者がセッションを開始した際に実行されるコマンドを注入できると、Socketは述べています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記（例: [.]）としています。再有効化はMISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/npm-worm-steals-dev-credentials/
