CISA、Shai-Huludによる侵害を受け依存関係のチェックを呼びかけ

サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、大規模なサプライチェーン攻撃でNode Package Managerエコシステムが被害を受けたことを受け、セキュリティチームにシステムの監視を呼びかけました。 

この攻撃は「Shai-Hulud」と名付けられ、自己増殖型ワームが500以上のソフトウェアパッケージを侵害したと、StepSecurityは報告しています。

攻撃者はアクセス権を得た後、マルウェアを注入し、環境内で機密性の高い認証情報をスキャンしました。認証情報には、GitHubのパーソナルアクセストークンや、Amazon Web Services、Google Cloud Platform、Microsoft Azureなど様々なクラウドサービスのAPIキーが含まれていました。

盗まれた認証情報は攻撃者が管理するエンドポイントにアップロードされ、その後「Shai-Hulud」と呼ばれる公開リポジトリにアップロードされました。

Palo Alto Networksの研究者によると、攻撃者は悪意のあるスクリプトの作成にLLM（大規模言語モデル）を使用したと、火曜日に公開された更新ブログ記事で述べられています。

GitHubは月曜日、攻撃の影響を軽減するための措置を講じたと発表しました。GitHubはnpmレジストリから500以上のパッケージを削除し、さらにマルウェアの侵害指標を含む新規パッケージの登録もブロックしています。

CISAは、セキュリティチームに自社環境が侵害されていないことを確認するため、以下のような一連の緩和策を講じるよう呼びかけています：

• npmパッケージエコシステムを利用している全ソフトウェアの依存関係レビューを実施する。
• アーティファクトリポジトリや依存関係管理ツールで、影響を受けた依存関係のキャッシュバージョンを探す。
• すべての開発者認証情報を速やかにローテーションする。
• 開発者アカウントにフィッシング耐性の多要素認証を実装する。