非常に人気の高いAxios NPMライブラリの悪意あるバージョンが数百万に配布されました。北朝鮮のハッカーが実行した新しいサプライチェーン攻撃が原因です。
Node.jsとブラウザからの非同期APIリクエストをサポートするプロミスベースのHTTPクライアントであるAxiosは、データの取得、送信、更新に使用されます。
週間ダウンロード数が1億回を超え、NPMパッケージのトップ10であり、最も人気のあるJavaScript HTTPクライアントライブラリであり、クラウドおよびコード環境の約80%に存在します。
2026年3月31日の真夜中直後、2つのバックドア入りAxiosバージョンがNPMレジストリに公開され、Windows、macOS、Linuxシステム全体でユーザーの操作なしにペイロードを自動実行しました。
すなわち1.14.1と0.30.4の悪意あるパッケージバージョンは、約3時間後にレジストリから削除されました。この時間枠の間に、Axiosユーザーベースの約3%によってダウンロードされました。Wizによると。
バックドア入りの反復には、攻撃の18時間前にレジストリに公開されたファントム依存関係が含まれていました。[email protected]という名前の依存関係は、Axiosコードのどこにもインポートされていません。
「その唯一の目的は、macOS、Windows、Linuxを対象とするクロスプラットフォームリモートアクセストロイの木馬（RAT）ドロッパーとして機能するポストインストールスクリプトを実行することです。ドロッパーはライブコマンドアンドコントロールサーバーに接触し、プラットフォーム固有の第2段階ペイロードを配信します。」StepSecurityは注記しています。
ドロップされたペイロードはWizが説明するように、オペレーティングシステム全体で同様の機能を持ち、リモートシェル実行、コード注入、ディレクトリとプロセス列挙、およびシステム偵察を可能にしました。
「実行後、マルウェアはインストール成果物を削除し、独自のパッケージメタデータをクリーンなバージョンで置き換えてフォレンジック検出を回避しようとします。」Sophosは述べています。
Socketによると、@shadanai/openclawと@qqbrowser/[email protected]パッケージが同じマルウェアを配布しているのが見られました。
侵害されたアカウントと攻撃のタイムライン
セキュリティ研究者は、サプライチェーン攻撃は高度に標的化され、計画的だったと述べています。攻撃を実行するために、脅威アクターはAxiosの主要メンテナーである@jasonsaamanのNPMアカウントを侵害しました。Huntressが説明しています。
攻撃者はアカウントのメールアドレスを変更し、長寿命アクセストークンを使用して、GitHub Actions OIDCベースのCI/CDパブリッシングワークフローをバイパスしながら、NPM CLIを介してバックドアパッケージバージョンを直接公開しました。
「1つの重要な詳細：OIDCトラストされたパブリッシングが構成されていたv1.xブランチでさえ、パブリッシュワークフローはNPM_TOKENを環境変数としてOIDC認証情報と並行して渡していました。両方が存在する場合、NPMはトークンを使用します。これは、長寿命トークンがOIDC構成に関係なく、すべてのパブリッシャーの実質的な認証方法だったことを意味します。」Huntressは述べています。
これは、攻撃者がパブリッシング保護をバイパスできた理由を説明しています。メンテナーが彼が対話する「ほとんどすべてのもの」で多要素認証を有効にしていたとしても、彼が指摘したように。
攻撃で使用されたplain-crypto-js依存関係のクリーンなバージョンは、攻撃の18時間前に公開されました。「NPMパブリッシング履歴を確立するためで、後の検査中にパッケージがゼロ履歴アカウントとして表示されないようにするためです。」StepSecurityは注記しています。
依存関係の悪意あるバージョンは、最初のバックドア入りAxiosバージョンが公開されるおよそ20分前に公開されました。2番目のバックドア入りAxiosリリースは39分後にプッシュされました。
NPMは3時間後に悪意あるバージョンを非公開にして削除し、plain-crypto-jsのセキュリティ保留を開始しました。1時間後に悪意あるパッケージをNPMセキュリティホルダースタブに置き換えました。
初期のplain-crypto-jsバージョンは、正当な[email protected]パッケージの同一コピーでした。悪意あるバージョン4.2.1には、ポストインストールスクリプト、難読化されたドロッパー、クリーンなJSONスタブの3つの違いのみが含まれていました。
スタブの目的は、自身の名前を変更し（セットアップスクリプトが実行を終了して自身を削除した後）、バージョン4.2.1の代わりにバージョン4.2.0を報告し、ディフェンダーを欺いてシステムが侵害されていないと信じさせることでした。StepSecurityは注記しています。
責任がある北朝鮮のハッカー
「ここで文書化された操作的な洗練のレベル（侵害されたメンテナー認証情報、3つのオペレーティングシステム向けに事前に準備されたペイロード、40分以内に両方のリリースブランチにヒット、組み込みのフォレンジック自己破壊を含む）は、これをスケーラブルな操作として計画した脅威アクターを反映しています。」ReversingLabsのチーフソフトウェアアーキテクトTomislav Pricingは述べました。
サイバーセキュリティ研究者は、攻撃は北朝鮮のハッカーによって実行されたと述べています。Elasticは、攻撃で使用されたmacOSバイナリがWaveShaperと重なり、GoogleによってUNC1069に属するものだと述べています。
メール声明の中で、Google脅威インテリジェンスグループのチーフアナリストJohn Hultquistは帰属を確認しました。
「GTIGはAxiosサプライチェーン攻撃を調査しており、これは最近のTeamPCPサプライチェーン問題とは無関係な事件です。私たちはこの攻撃を、UNC1069として追跡する北朝鮮の疑わしき脅威アクターに帰属しました。」Hultquistは述べました。
「北朝鮮のハッカーはサプライチェーン攻撃について深い経験を持っており、彼らは歴史的に暗号通貨を盗むために使用してきました。この事件の完全な範囲はまだ不明ですが、侵害されたパッケージの人気を考えると、広範な影響があると予想します。」彼は付け加えました。
少なくとも2018年以来活動しているUNC1069は、暗号通貨と分散金融（DeFi）部門、ソフトウェア開発者、ベンチャーキャピタル企業を対象とすることで知られている、経済的動機を持つ脅威アクターです。
2月に、Google は警告を発し、進化するUNC1069戦術、技術、手順（TTPs）、FinTechエンティティに対する攻撃での新しいマルウェアファミリーの使用を含めました。
ダウンストリーム影響
影響を受けたユーザーは、直ちに悪意あるパッケージをシステムから削除し、感染の兆候を探し、潜在的なダウンストリーム影響について依存関係ツリーを監査するようにアドバイスされています。
「私たちはすでにアクティブな悪用を見ています。[email protected]または[email protected]をインストールした環境は、侵害されたものとして扱うべきです。組織は直ちに依存関係を監査し、検証された安全なバージョンにダウングレードし、インストール中にアクセス可能なすべての認証情報をローテーションし、各オペレーティングシステムに固有のマルウェアアーティファクトをスキャンする必要があります。」Huntress上級主任セキュリティ研究者John Hammondはメール付きのコメントで述べました。
攻撃は、Sonatypeフィールドプレジデント兼CTO Ilkka Turunenが指摘するように、ハッカーがコード自体ではなくコードに対する人々の信頼を今利用していることを示しています。
「悪意ある機能は段階的な依存関係を通じて導入され、独自のトラックを消去するように設計されました。これにより、攻撃は発見しにくく、理解が遅くなりました。これは単なるマルウェアではなく、より故意で成熟したプレイブックを示しています。」Turunenは述べました。
「この事件を重要にしているのは、実際のダウンストリームリスクを作成するために必要な目に見えた変化がどのくらい少ないかです。広く信頼されたパッケージをこのような配信パスに変えることができる場合、問題はパッケージの衛生を超えています。それはソフトウェアサプライチェーンの信頼の問題であり、組織が実際にインストールされているものを見たセキュリティコントロール、単に一見安全に見えるだけではなく必要な理由です。」彼は付け加えました。
2つのバックドア入りAxios反復の可用性の短い時間枠にもかかわらず、このサプライチェーン攻撃の影響は広いと考えられています。ライブラリはプラットフォーム全体に深く組み込まれており、悪意あるコードはダウンストリームビルドパイプラインを通じて引き出された可能性があります。
「一般的なパッケージに悪意あるコードを一時的に挿入することにより、脅威アクターは通常のソフトウェアアップデートと自動プロセスを利用でき、多くの場合、誰かが直ちに何かが間違っていることを認識することなく。そのダウンストリーム露出は、特にAxiosを直接インストールする選択をしなかったチームにとって、これらの事件を発見して含めるのを特に困難にするものです。」Arctic Wolf VP Ismael Valenzuelaは述べました。
「この1つが詳しく注目する価値があるのは、IDE拡張角度です。バージョンを固定し、ロックファイルを維持し、標準的な衛生に従った開発者は、エディターが舞台裏で依存関係を引き出したため、ヒットされたままである可能性があります。」Semgrep創設者兼CEOのIsaac Evansは指摘しました。
翻訳元: https://www.securityweek.com/axios-npm-package-breached-in-north-korean-supply-chain-attack/
