精密攻撃でAxios NPMパッケージが侵害される

出典：chris brignell via Alamy Stock Photo

Axios JavaScriptのNPMパッケージが最近侵害され、最近数ヶ月間にオープンソース開発エコシステムに対する最も影響力の大きいサプライチェーン攻撃の一つを表しています。

Axiosは最も人気のあるJavaScript HTTPクライアントライブラリであり、NPM上で月間4億回以上ダウンロードされています。ソフトウェア開発セキュリティベンダーのStepSecurityは、NPMに公開された2つの悪意のあるバージョンを特定し、昨日報告しました：[email protected]と[email protected]。 

StepSecurityがインシデントについてのブログ投稿で説明したように、これらの悪意のあるバージョンには「[email protected]」という新しい悪意のある依存関係が含まれています。正規のcrypto-jsライブラリになりすまして、plain-crypto-jsはWindows、Linux、Macで機能可能なリモートアクセストロイの木馬（RAT）をインストールするスクリプトを実行します。この攻撃は明らかにリードメンテナーのアカウント「jasonsaayman」が侵害されたことから始まったようです。

「ドロッパーはライブのコマンドアンドコントロールサーバーに接続し、プラットフォーム固有の第2段階ペイロードを配信します。実行後、マルウェアは自身を削除し、フォレンジック検出を回避するためにpackage.jsonをクリーンバージョンに置き換えます」とStepSecurityのブログは述べています。「axiosの内部にはゼロ行の悪意のあるコードがあり、これがまさにこの攻撃が非常に危険な理由です。」

パッケージはNPMがキャンペーンのすべての痕跡を完全に削除するまで数時間（両方のAxiosバージョンで約3時間）アクティブでした。Axiosは非常に人気があり、悪意のあるバージョンがかなりの時間アップされていたため（Endor Labsのブログによると、plain-crypto-jsの1つのバージョンはセキュリティホールドを受ける前に21時間以上公開されていました）、組織は侵害の指標を確認する必要があります（StepSecurity、Endor Labs、およびSocketのブログ投稿で利用可能）。 

SocketのCEO、Feross Aboukhadijehは、JavaScriptエコシステムでは「チームがすべてを中止して依存関係を即座に検証すべき種類のインシデント」であると、Dark Readingへのメールで述べています。

Axios攻撃者は何を望んでいるのか？

帰属は少なくとも言えば、動的なトピックです。初期報告はランサムウェア攻撃を含むクラウドネイティブ脅威活動を行うことで知られている脅威アクターTeamPCPにアクティビティを結び付けました。しかし、本日Googleは攻撃を疑いのある北朝鮮の脅威アクターUNC1069に帰属させるという声明をDark Readingに送信しました。

Google脅威インテリジェンスグループのチーフアナリスト、John Hultquistは、インシデントの完全な範囲は不明なままですが、Googleはそれが広範な影響を持つと期待していると、メール送信されたステートメントで述べています。北朝鮮は以前このようなことをしたことがあることを注目する価値があります。

Kurmiは、RATがどのように動作するか（および他のベンダー属性を考慮しない）に基づいて、Axios攻撃者はアクセス仲介またはスパイ活動に関心がある可能性があると述べています。

「RATの最初のアクションは、他に何もする前にデバイスプロファイリング（ホスト名、ユーザー名、OS、プロセス、ディレクトリウォーク）です。これはカタログ化であり、略奪ではありません。ぶっきらぼうなインフォスティーラーは認証情報をつかんで去ります。これはデバイスに指紋を付けて指示を待ち、初期アクセス仲介または標的型スパイ活動を指しています」と彼は述べています。「Axiosは暗号マイナーが必要としないソースコード、デプロイキー、クラウド認証情報を保有する開発者環境に存在しており、18時間の事前ステージング、同時ブランチポイズニング、アンチフォレンジクスは、これを以前に行ったアクターを示唆しています。」

北朝鮮が関与している場合、Kurmiは、UNC1069はDPRK資金を充実させるための北朝鮮のLazarus Groupの一部として知られているため、これは話を大きく変えると述べています。彼らは暗号通貨を盗み、ウォレットまたはフィンテックアーキテクチャへのアクセスに使用できる認証情報を獲得します。さらに、「これが特に注目すべき理由は、DPRKのトップ10 npmパッケージの初回の成功した侵害を表すであろう」ということです。

オープンソースサプライチェーン攻撃の洗練性の新標準

オープンソースサプライチェーンは、最近数ヶ月間にShai-huludやGlassWormなどの多くの注目すべき脅威に直面していますが、Axiosへの攻撃はいくつかの異なる理由で際立っています。オープンソースサプライチェーン攻撃の多くは、より日和見的な感染手段と強引なインフォスティーラーに依存していましたが、StepSecurityはこの攻撃を説明するために「精密」という言葉を使用しました。 

「悪意のある依存関係は18時間前にステージングされました。3つのペイロードは3つのオペレーティングシステム用に事前作成されました。両方のリリースブランチは互いに39分以内にポイズニングされました。すべてのアーティファクトは自己破壊するように設計されました。npmインストール後2秒以内に、npmが依存関係の解決を終了する前に、マルウェアは既に攻撃者のサーバーに連絡していました」とブログ投稿は述べています。「これはトップ10 npmパッケージに対して記録された最も運用上洗練されたサプライチェーン攻撃の一つです。」

StepSecurityのAshish Kurmiは、これが典型的なNPM攻撃よりもはるかに洗練されていることをDark Readingに述べています。ほとんどはタイポスクワッティングに依存していますが、「これは本物のメンテナーアカウントを侵害し、AxiosのOIDCベースの公開パイプラインをバイパスし、npm listが感染後に間違ったバージョンを報告させるアンチフォレンジクスを構築することが必要でした。」

Kurmiはそれを「運用上の手法」、スクリプトではないと呼んでいます。「昨年から今年にかけて複数のサプライチェーン攻撃を追跡しています。Shai-Hulud攻撃、Nx Singularityインシデント、tj-actions/changed-filesコンプロマイズ、Trivyコンプロマイズ、Checkmarx KICS、LiteLLM PyPIコンプロマイズ、Canister worm、そして現在のAxios。各々は運用上の洗練さとアンチフォレンジック認識の段階的な向上を示しています。」

防御者の観点からこの攻撃がどの程度「悪い」かについて、Kurmiは、主な露出ウィンドウ（前述の例外を引き起こさない）が実際にはわずか約3時間であったため、総インストール数は制限されたであろうと述べています。ただし、その間に影響を受けた開発者は、エラー、警告、または痕跡を残していなかった可能性があります。そのため、「開発者のマシンの静かで痕跡のないコンプロマイズは、速く修正される大きなものとは根本的に異なるリスクです。」

Endor Labsのセキュリティ研究者Peyton Kennedyは、攻撃が洗練さにおいて大きな一歩であることに同意しています。

「昨年、Shai-huludのワーム系の伝播は革新的で、それ以来、CanisterWormおよび他のキャンペーンでその技術が複製されたのを見ています。この攻撃は異なる種類のエスカレーションです：スキャナーを回避するためのステージング依存関係シーディング、プラットフォーム固有のペイロードチェーン、および自己削除されるアンチフォレンジッククリーンアップ」とKennedyは述べています。「これは経験豊富な脅威アクターからの意図的で計画された手法のように見えます。」