読了時間：4分
GlassWormの攻撃者が、大きな獲物を手に入れたようです。
フランスのクラウドプロバイダーOVHcloudは月曜日、同社のGitHubリポジトリの1つが侵害され、オープンソースのコマンドラインインターフェース（CLI）ツールの既存アセットが、攻撃者によって悪意あるバイナリに差し替えられたと公表しました。OVHcloudの会長兼CEOであるOctave Klaba氏は、ソーシャルメディアのXへの投稿でインシデントを明らかにし、最新版のツールをダウンロードしたユーザーに対して、「すぐにもう一度更新する」か、削除するよう呼びかけています。
Klaba氏はXへの投稿で、次のように述べています。「ハッカーは開発者の1人のGitHubアカウントを使い、ディスク上のシークレットを取得するバイナリを追加しました。バイナリの品質は低いものの、最後までやり遂げる可能性があります。影響を受けた場合は、ディスク上のすべてのシークレットを変更してください」
OVHcloudによるインシデントの事後報告書（ポストモーテム）によると、悪意あるバイナリが公開されていたのは1時間33分だけでしたが、約250回ダウンロードされました。このため、サプライチェーンへの影響範囲は小さいとみられます。
ただし、この攻撃は悪名高いGlassWormの背後にいる攻撃者と関連づけられています。GlassWormは自己増殖型のマルウェアでありボットネットです。2025年10月に初めて確認されて以来、ソフトウェアサプライチェーンを継続的に狙ってきました。ワーム機能により、過去のGlassWorm攻撃は影響が長く尾を引き、被害範囲も広範に及んでいます。
侵害されたGitHubアカウントがリポジトリ侵害につながる
ポストモーテムによると、攻撃者はOVHcloudの開発者の1人が使う、侵害されたGitHubアカウントを使い、同社のovhcloud-cliプロジェクトにアクセスしました。攻撃者は短時間ですが、正規のリリースを悪意あるバージョンのツールに差し替えました。
月曜日に、あるGitHubユーザーが改ざんされたバージョンをダウンロードしました。このユーザーは不審な挙動に気づき、すぐにOVHcloudへGitHubのIssueで報告しています。OVHcloudはリポジトリを調査し、約30分で悪意あるバイナリを削除しました。同社のセキュリティチームは、全リポジトリもスキャンし、他に影響を受けたものはないと判断しています。
さらに同社は、本番環境向けの主要なCI/CDプラットフォームは、GitHub上ではなく社内のプライベートGitリポジトリインスタンスで運用しているため、今回の攻撃の影響は受けていないと説明しました。
OVHcloudのセキュリティチームによると、このサプライチェーン攻撃を可能にしたのは、単純な設定ミスでした。
同社はポストモーテムで次のように述べています。「主な問題は、GitHubリポジトリがリリースの不変性（イミュータビリティ）を確保するよう適切に設定されていなかったことです」。つまり、ソフトウェアの公開後にアセットを改変できる状態だったことを意味します。「この設定ミスは直ちに修正され、リポジトリはもはや危険にさらされていません。同じ設定をすべてのリポジトリに適用しました」
OVHcloudへの攻撃、GlassWormの攻撃者との関連が浮上
当初は、攻撃者がCLIツールのリポジトリへのアクセスに使ったアカウントを、どのように入手したのかは不明でした。しかし、脅威インテリジェンスプラットフォームのOpenSourceMalwareが昨日公開したブログ記事で、セキュリティ研究者のPaul McCarty氏は、このサプライチェーン攻撃をGlassWormの攻撃者と結びつけました。根拠は、過去のGlassWormキャンペーンで使われたSolanaのウォレットアドレスです。
さらに重要とも言えるのが、McCarty氏がOVHcloudのリポジトリへのアクセスに使われた開発者アカウントを調べ、7カ月間にわたって侵害されていたことを突き止めた点です。同氏は次のように書いています。「このアカウントの公開リポジトリには、2026年3月5日にスクリプトによる履歴の書き換えが行われた形跡があり、隠されたpreinstall.jsローダーも見つかりました。このローダーはデコードされ、SolanaのmemoをデッドドロップとするSecond Stageにつながります。ウォレットはGlassWormの既知の指標です。また、amendしてforce pushする手法は、ForceMemoキャンペーンと一致します」
この以前のキャンペーンでGlassWormは、MicrosoftのVisual Studio Marketplaceに代わるオープンソースの選択肢である、Open VSX上の数十の拡張機能パッケージに感染しました。その後OVHcloudのセキュリティチームは、この開発者が2025年10月20日に、個人所有のMacBookへ改ざんされた拡張機能をインストールしていたことを突き止めました。
昨年10月、セキュリティベンダーSocketの研究者は、OVHcloudがレポートで言及したものと全く同じ拡張機能バージョン、[email protected]を指摘していました。
Socket Threat Research Teamの広報担当者はDark Readingに次のように語っています。「この拡張機能のローダーは、実行可能コードを不可視のUnicode文字に隠しています。Solanaのトランザクションmemoを照会してリモートペイロードの場所を特定し、そのコードをダウンロードして実行します。また、当社がGlassWormのテーマに関する調査で文書化したものと同じivbase64とsecretkeyのレスポンスヘッダーも使っています。これらの挙動は、当社が分析してきたGlassWormのローダーと一致しています」
OVHcloudも同意見で、ポストモーテムの中でSolanaのウォレットアドレスはGlassWormを示していると記しています。ただしSocketは、このアドレスが同社の以前のOpen VSX調査で確認したものと一致する一方、Socketが保管している拡張機能ファイルには別のアドレスが埋め込まれていると指摘しています。広報担当者は次のように述べています。「OVHcloudが挙げているアドレスが後続のペイロード段階に現れるかどうかは確認できておらず、10月のCLIバイナリについても独自に分析はしていません」
攻撃者が誰であるかにかかわらず、Socket Threat Research Teamは、個人のセキュリティ上の不備が企業のセキュリティリスクにつながり得ると強調しています。
広報担当者は次のように述べています。「OVHcloudのアカウントの事例は、個人のマシンでの拡張機能の感染が、雇用主のユーザーに悪意あるソフトウェアが届く事態につながり得ることを示しています。同社は、ソースコードとビルドチェーンは影響を受けなかったとしています。しかし、盗まれた認証情報によって、攻撃者は公式リリースで配布されるバイナリを差し替えることができたのです」
