ハッカーは、人気のNxビルドシステムパッケージを利用するJavaScript開発者を標的とした新たなサプライチェーン攻撃で、数千件の認証情報を盗みました。
週に400万回以上ダウンロードされているNxは、オープンソースで技術に依存しないビルドプラットフォームであり、開発者が大規模なコードベースを管理できるようにします。
新たに明らかになったサプライチェーン攻撃（s1ngularityと呼ばれる）の一環として、ハッカーはNxのNPMトークンを盗み、悪意のあるバージョンのパッケージをレジストリに公開できるようになりました。
攻撃の根本には、8月21日に導入された脆弱なワークフローがあり、これがコードインジェクションに利用される可能性があったとNxのメンテナーが説明しています。
このバグは悪用可能と判明した直後にmasterブランチでほぼ即座に元に戻されましたが、脅威アクターはnrwl/nxリポジトリのフォークへのプルリクエストでこれを利用し、古いブランチを標的にして問題を引き起こし、リポジトリの読み書き権限を持つGITHUB_TOKENを盗みました。
その後、GITHUB_TOKENはpublish.ymlワークフローの実行に使われ、これには複数の悪意あるNxおよびサポートプラグインパッケージを公開するためのNPMトークンが含まれていました。Nx Console IDE拡張機能のユーザーも、Nxを使ったワークスペースがなくても影響を受けました。
8月26日午後6時32分から8時37分（米東部時間）の間に、8つの悪意あるNxバージョンが公開されました。これらは午後10時44分に削除され、公開権限を持つすべてのNPMトークンは午後11時57分に無効化されました。
数時間後、「Nx配下のすべてのNPMパッケージ（影響を受けたか否かに関わらず）は2要素認証が必須となり、NPMトークンでは公開できなくなりました。すべてのNPMパッケージは新しいTrusted Publisherメカニズムに変更され、NPMトークンを利用しなくなりました」とNxのメンテナーは述べています。
広告。スクロールして続きをお読みください。
Nxのバージョン21.5.0、20.9.0、21.6.0、20.10.0、21.7.0、20.11.0、21.8.0、20.12.0には、LinuxおよびmacOSシステムで悪意あるtelemetry.jsファイルを実行するpost-installスクリプトが含まれていたと、サイバーセキュリティ企業Wizが指摘しています。
このペイロードは、SSHキー、NPMトークン、GitHubトークン、APIキー、暗号通貨ウォレットデータを含む機密ファイルや環境変数をシステマティックにシステム内で検索するよう設計されていました。
また、ユーザーのシェル起動ファイルを改変し、新しいターミナルセッションを開くとシステムがクラッシュするシャットダウンコマンドを追加するなどの被害も引き起こしましたと、GitGuardianが説明しています。
さらに、このコードはClaudeやGeminiなどのAIツールを武器化し、偵察やデータ流出の支援に利用するよう設計されていました。
「これは、攻撃者が開発者向けAIアシスタントをサプライチェーン攻撃のツールとして利用した初めての事例です」とStepSecurityは指摘しています。
このコードは収集したデータをエンコードし、「s1ngularity-repository」（またはそのバリエーション）という名前の公開GitHubリポジトリを作成し、そこにエンコード済みデータをアップロードしました。
WizとGitGuardianはこのようなリポジトリが数千件存在することを観測し、GitHubによって削除またはアーカイブされたものの、リポジトリがオンラインだった時間は攻撃者がデータをダウンロードするのに十分だったと警告しています。
「ここで漏洩した多様なデータの中には、1,000件以上の有効なGithubトークン、数十件の有効なクラウド認証情報やNPMトークン、約20,000件のファイルが含まれています。多くの場合、マルウェアは開発者のマシン上で、しばしばNX VSCode拡張機能経由で実行されたようです。また、Github Actionsなどのビルドパイプラインでマルウェアが実行されたケースも観測しています」とWizは述べています。
GitGuardianによると、ハッカーは8月27日に特定された1,079件のリポジトリに2,349件の異なるシークレットを流出させることに成功しました。攻撃のピーク時には、約1,400件のリポジトリが公開状態でした。
「これらのシークレットの半数は執筆時点で有効でした。最も多いのはGitHub OAuthアプリキーです。この結果は一見意外ですが、実際にはNxの仕組みに関連しており、Nx CloudとGitHub間の連携を容易にするGitHubアプリケーションが存在するためです」とGitGuardianは述べています。
同社はまた、盗まれたシークレットは直ちに無効化すべきであり、遅れるとさらなる被害につながる可能性があると警告しています。
「露出を迅速に検知し、影響を検証し、数千の非人間IDに対して協調的な無効化を実行する能力は、サプライチェーン攻撃が発覚から数時間で漏洩した認証情報を武器化できる時代において、レジリエントなソフトウェアデリバリーの新たな基準となっています」とGitGuardianは指摘しました。
関連記事: 今すぐ視聴: CodeSecCon – ソフトウェアセキュリティの新章が展開される場所（バーチャルイベント）
関連記事: ハッカーがAI生成メールで信頼を武器化しScreenConnectを展開