Shai-hulud 2.0の新種がクラウドエコシステムを脅かす

出典: FlixPix（Alamy Stock Photo経由）

自己増殖型ワーム「Shai-hulud」の危険な新種が、最新の攻撃で新たな領域に侵入し、npmコードリポジトリだけでなく、GitHubやクラウドエコシステムも脅かす機能を誇示しています。さらに、新たなワイパー機能も備えています。

Trend Microの研究者は、Shai-hulud 2.0の高度な機能を明らかにしました。このワームの新種は11月に登場し、初めてオープンソースのnpmパッケージに拡散してソフトウェアサプライチェーンを侵害するワーム型攻撃を行ってから、わずか2カ月後のことです。この発見は、Wizの研究者が 新種を明らかにした 「プリインストールフェーズで悪意のあるコードを実行し、ビルドやランタイム環境での潜在的な被害を大幅に拡大する」ことを発表してから1週間後に発表されました。

Shai-huludは、おそらく『Dune/デューン』小説および映画シリーズの恐ろしいサンドワームにちなんで名付けられたもので、現在はクラウド認証情報を盗み、それらを使って「クラウドネイティブのシークレット管理サービス」にアクセスしています。また、データの収集に失敗した場合、ユーザーデータを消去する破壊的なコードも新たに搭載していることが、Trend Microの研究者Jeffrey Francis Bonaobraによる最近のブログ記事で明らかになりました。

「このワームは、[Amazon Web Services] AWS、[Google Cloud Platform] GCP、Azureクラウドプロバイダーから認証情報を盗むことができ、APIキー、トークン、パスワード、npmトークン、GitHub認証情報などが含まれます」と彼は投稿で述べています。

ワームによるクラウド認証情報のリスク

静的な認証情報を盗むだけでなく、マルウェアは盗まれたクラウド認証情報を使ってクラウドネイティブのシークレット管理サービスにアクセスし、AWS Secrets Manager APIを使ってAWSからシークレットを取得し、GCP Secret Manager APIでGoogle Cloudのシークレットを抽出し、Azure Key VaultでAzureのシークレットを収集します。また、Bonaobra氏によると、KubernetesポッドにAzure IDを提供するために広く使われているレガシーシステム「Azure Pod Identity」からの認証情報も標的としています。

それだけではなく、新種は「被害者が管理するすべてのnpmパッケージに自動的にバックドアを仕込み、パッケージインストール時に実行される悪意のあるペイロードを含めて再公開する」こともできます。この機能は、最初にReversingLabsの研究者によって詳細に説明された初期の攻撃ベクトルを強化したもので、npm開発者アカウントの認証情報を盗み、リポジトリ全体にわたってパッケージを汚染し、これらのアカウントが管理するコンポーネントの悪意あるバージョンを再公開するものです。

その後、ワームはソフトウェアサプライチェーン全体の下流ユーザーに感染し、開発者が感染したコンポーネントを使用した際に発動して認証情報を盗み、開発者のパッケージを感染させ、自己増殖プロセスを継続します。

Shai-hulud攻撃チェーンの詳細分析

Trend Microは、最近報告されたShai-hulud 2.0攻撃を詳細に調査し、初期の複雑さを基盤に、クラウドやそれ以外の領域へ危険な拡散方法を拡大していることを明らかにしました。

攻撃チェーンは、npmのセキュリティ警告を装ったフィッシングメールから始まり、開発者を騙して認証情報を漏洩させ、これにより開発者のnpmアカウントが侵害され、パッケージの汚染やGitHub APIへの認証による全リポジトリのパッケージ汚染につながりました。

ワーム型サプライチェーン攻撃を確立すると、マルウェアはTruffleHogをダウンロードしてインストールし、ファイルからさらに多くのシークレットをスキャン・収集します。その後、盗んだすべてのリポジトリを公開し、全履歴をミラー化します。Shai-huludは自動化されたWebリクエストを使って機密データを外部に送信し、先述の下流パッケージ汚染を続けます。

攻撃チェーンの後半では、クラウド認証情報やその他のシークレットの収集が始まり、Shai-huludはまず環境変数の完全なセットを取得して、APIキー、トークン、パスワードなどを含む可能性のある情報を収集します。その後、各プラットフォームのシークレットマネージャーからシークレットを盗み、盗んだクラウド認証情報を使ってクラウドネイティブのシークレット管理サービスにアクセスします。

高度な攻撃には高度な対応が必要

攻撃チェーン全体を通じて、このワームは攻撃者視点で価値のあるデータとそうでないデータを見分ける独自の知能を示しており、ソフトウェア開発とクラウドエコシステムの両方に高度な脅威をもたらしていると、Bonaobra氏は投稿で述べています。

Koi Securityの共同創設者兼CTOであるIdan Darkiman氏を含む研究者らは、Shai-huludを最初に特定したグループの一つです。Darkiman氏はDark Readingに対し、このような高度な攻撃に対抗する鍵の一つは、組織のネットワーク全体で最小権限を徹底することだと述べています。これにより、ソフトウェアやクラウド資産を悪意のあるコードから守り、攻撃が発生する前に検知するチャンスを得られるといいます。

組織は、アカウント全体へのアクセスではなく、特定のパッケージに限定した細かく短命なトークンを使用することや、CI/CD開発パイプラインの権限を制限して、単一の侵害されたボットトークンが組織全体にアクセスできないようにすること、クラウドIAMを強化して開発者の認証情報が本番インフラに到達できないようにすることなどで対策できます。また、依存関係をリリースから一定期間遅らせて固定し、悪意のあるパッケージが検知される前にインストールされるのを防ぐべきだと述べています。

「セキュリティチームは、組織内でどのパッケージが使われているか可視化できるツールも導入すべきです。見えないものは守れませんし、ソフトウェアサプライチェーンを把握することがセキュリティの第一歩です」とDarkiman氏は述べています。

防御側が悪意のあるパッケージを検知し、Shai-huludによる感染の可能性を特定できるよう、Trend Microはブログ記事に侵害の兆候（IoC）のリストも掲載しています。