サイバーセキュリティ研究者は、GlueStackに関連する十数以上のパッケージを標的としたサプライチェーン攻撃を警告しました。
「lib/commonjs/index.js」への変更を通じて導入されたマルウェアは、攻撃者がシェルコマンドを実行し、スクリーンショットを撮り、感染したマシンにファイルをアップロードすることを可能にします。Aikido SecurityはThe Hacker Newsに対し、これらのパッケージは合計で毎週約100万回ダウンロードされていると述べました。
不正アクセスはその後、暗号通貨のマイニング、機密情報の盗難、さらにはサービスの停止など、さまざまなフォローオンアクションを実行するために使用される可能性があります。Aikidoは、最初のパッケージの侵害が2025年6月6日午後9時33分（GMT）に検出されたと述べました。
影響を受けたパッケージとバージョンのリストは以下の通りです –
- @gluestack-ui/utils バージョン 0.1.16 (101 ダウンロード)
- @gluestack-ui/utils バージョン 0.1.17 (176 ダウンロード)
- @react-native-aria/button バージョン 0.2.11 (174 ダウンロード)
- @react-native-aria/checkbox バージョン 0.2.11 (577 ダウンロード)
- @react-native-aria/combobox バージョン 0.2.8 (167 ダウンロード)
- @react-native-aria/disclosure バージョン 0.2.9 (N/A)
- @react-native-aria/focus バージョン 0.2.10 (951 ダウンロード)
- @react-native-aria/interactions バージョン 0.2.17 (420 ダウンロード)
- @react-native-aria/listbox バージョン 0.2.10 (171 ダウンロード)
- @react-native-aria/menu バージョン 0.2.16 (54 ダウンロード)
- @react-native-aria/overlay バージョン 0.3.16 (751 ダウンロード)
- @react-native-aria/radio バージョン 0.2.14 (570 ダウンロード)
- @react-native-aria/slider バージョン 0.2.13 (264 ダウンロード)
- @react-native-aria/switch バージョン 0.2.5 (56 ダウンロード)
- @react-native-aria/tabs バージョン 0.2.14 (170 ダウンロード)
- @react-native-aria/toggle バージョン 0.2.12 (589 ダウンロード)
- @react-native-aria/utils バージョン 0.2.13 (341 ダウンロード)
さらに、パッケージに注入された悪意のあるコードは、先月別のnpmパッケージ「rand-user-agent」の侵害後に配布されたリモートアクセス型トロイの木馬と類似しており、同じ脅威アクターが背後にいる可能性があることを示しています。
トロイの木馬は、システム情報（「ss_info」）とホストのパブリックIPアドレス（「ss_ip」）を収集する2つの新しいコマンドをサポートする更新版です。
プロジェクトのメンテナーはその後、アクセス トークンを取り消し、影響を受けたバージョンを非推奨としてマークしました。悪意のあるバージョンをダウンロードした可能性のあるユーザーには、潜在的な脅威を軽減するために安全なバージョンにロールバックすることをお勧めします。
「潜在的な影響は非常に大規模であり、マルウェアの持続メカニズムは特に懸念されるものであり、メンテナーがパッケージを更新した後でも攻撃者は感染したマシンへのアクセスを維持します」と同社は声明で述べました。
npmで発見された悪意のあるパッケージが破壊的な機能を解き放つ#
この開発は、Socketが2つの不正なnpmパッケージ、express-api-syncとsystem-health-sync-apiを発見したことを受けて行われました。これらは正当なユーティリティを装いながら、アプリケーションディレクトリ全体を削除できるワイパーを埋め込んでいます。
「botsailer」アカウント（メール: anupm019@gmail[.]com）によって公開されたパッケージは、それぞれ112回と861回ダウンロードされてから削除されました。
2つのパッケージのうち最初のexpress-api-syncは、2つのデータベース間でデータを同期するためのExpress APIであると主張しています。しかし、インストールされ、無防備な開発者によってアプリケーションに追加されると、ハードコードされたキー「DEFAULT_123」を含むHTTPリクエストを受け取ると、悪意のあるコードの実行をトリガーします。
キーを受け取ると、Unixコマンド「rm -rf *」を実行して、現在のディレクトリおよびその下のすべてのファイルを再帰的に削除し、ソースコード、設定ファイル、アセット、ローカルデータベースを含みます。
もう一つのパッケージははるかに洗練されており、情報スティーラーおよびワイパーとして機能し、オペレーティングシステムがWindows（「rd /s /q .」）かLinux（「rm -rf *」）かに基づいて削除コマンドを変更します。
「express-api-syncが鈍器であるのに対し、system-health-sync-apiは内蔵の情報収集機能を持つスイスアーミーナイフのような破壊の道具です」とセキュリティ研究者のKush Pandyaは述べました。
npmパッケージの注目すべき点は、電子メールを隠れた通信チャネルとして使用し、ハードコードされたSMTP認証情報を介して攻撃者が制御するメールボックスに接続することです。パスワードはBase64エンコードを使用して難読化されており、ユーザー名はインドに拠点を置く不動産会社に関連するドメインのメールアドレスを指しています（「auth@corehomes[.]in」）。
「すべての重要なイベントはanupm019@gmail[.]comにメールを送信します」とSocketは述べました。「メールには完全なバックエンドURLが含まれており、内部インフラストラクチャの詳細、開発環境、または公開されるべきではないステージングサーバーを露出させる可能性があります。」
データの流出にSMTPを使用することは巧妙で、ほとんどのファイアウォールは外向きのメールトラフィックをブロックせず、悪意のあるトラフィックが正当なアプリケーションメールと混ざり合うことを可能にします。
さらに、パッケージは「/_/system/health」と「/_/sys/maintenance」にエンドポイントを登録し、プラットフォーム固有の破壊コマンドを解き放ち、後者はメインバックドアが検出されブロックされた場合のフォールバックメカニズムとして機能します。
「攻撃者はまずGET /_/system/healthを介してバックドアを検証し、サーバーのホスト名とステータスを返します」とPandyaは説明しました。「設定されていればドライランモードでテストし、POST /_/system/healthまたはバックアップPOST /_/sys/maintenanceエンドポイントでキー「HelloWorld」を使用して破壊を実行できます。」
2つの新しいnpmパッケージの発見は、脅威アクターが情報や暗号通貨の盗難のために偽のライブラリを使用するだけでなく、システムの破壊に焦点を当て始めていることを示しています。これは、金銭的利益を提供しないため、異例の展開です。
PyPIパッケージがInstagram成長ツールを装い、資格情報を収集#
また、ソフトウェアサプライチェーンセキュリティ企業がPython Package Index（PyPI）リポジトリでInstagram成長ツールを装う新しいPythonベースの資格情報収集ツールimad213を発見した際にも発生しました。pepy.techで公開された統計によると、このパッケージは3,242回ダウンロードされています。
「マルウェアはBase64エンコードを使用してその本質を隠し、Netlifyホストのコントロールファイルを通じてリモートキルスイッチを実装しています」とPandyaは述べました。「実行されると、ユーザーにInstagramの資格情報を求め、それらを10の異なるサードパーティのボットサービスに送信し、フォロワー数を増やすふりをします。」
Pythonライブラリは、2025年3月21日にレジストリに参加したim_ad__213（別名IMAD-213）というユーザーによってアップロードされ、Facebook、Gmail、Twitter、VKの資格情報を収集できる他の3つのパッケージ（taya、a-b27）や、Apache Benchを利用してストリーミングプラットフォームやAPIを分散型サービス拒否（DDoS）攻撃でターゲットにする（poppo213）をアップロードしています。
PyPIからまだダウンロード可能なパッケージのリストは以下の通りです –
- imad213 (3,242 ダウンロード)
- taya (930 ダウンロード)
- a-b27 (996 ダウンロード)
- poppo213 (3,165 ダウンロード)
「imad213」がPyPIにアップロードされる約2日前にIMAD-213によって公開されたGitHubのREADME.mdドキュメントで、脅威アクターはこのライブラリは主に「教育および研究目的」であると主張し、誤用については責任を負わないと述べています。
GitHubの説明には「欺瞞的な安全のヒント」も含まれており、ユーザーにメインアカウントで問題が発生しないように偽のまたは一時的なInstagramアカウントを使用するよう促しています。
「これは偽の安全を生み出し、ユーザーは注意していると思いながらも、攻撃者に有効な資格情報を渡してしまいます」とPandyaは述べました。
起動されると、マルウェアは外部サーバーに接続し、テキストファイル（「pass.txt」）を読み取り、ファイルの内容が文字列「imad213」と一致する場合にのみ実行を続行します。キルスイッチは多目的に使用でき、脅威アクターがライブラリを実行するアクセスを誰に与えるかを決定したり、コントロールファイルのコンテキストを変更するだけでダウンロードされたすべてのコピーをオフにしたりすることができます。
次のステップでは、ライブラリはユーザーにInstagramの資格情報を入力するよう促し、それらを「credentials.txt」という名前のファイルにローカルに保存し、10の異なる疑わしいボットサービスのウェブサイトに送信します。その中には、同じエンティティによって運営されている可能性が高いトルコのInstagram成長ツールのネットワークにリンクしているものもあります。ドメインは2021年6月に登録されました。
「この資格情報収集ツールの出現は、ソーシャルメディアを標的としたマルウェアの懸念すべき傾向を明らかにしています」とSocketは述べました。「10の異なるボットサービスが資格情報を受け取ることで、盗まれたログイン情報が複数のサービスに分散され、その起源を隠す資格情報洗浄の初期段階を目にしています。」
翻訳元: https://thehackernews.com/2025/06/new-supply-chain-malware-operation-hits.html