ポッドキャストへの招待や日常的なプロフェッショナルな打ち合わせなど、一見何気ない交換から始まるものが、洗練された侵入の前置きとなり、敵対者に数百万の下流プロジェクトへのアクセスを与える可能性がある。ここ数週間、著名なNode.jsライブラリの複数の保守管理者が、明かしたところ、同一のソーシャルエンジニアリング作戦の標的にされていたという。Axiosパッケージは以前同様の方法で侵害されていたが、これが孤立した事件ではなく、むしろ組織的かつ広範なキャンペーンであることが今や明白である。
この攻撃は、現代的なソフトウェア開発の大部分を支える個人に照準を定めてきた。標的には、WebTorrentの開発者Feross Aboukhadijeh、Lodashの著者John-David Dalton、JavaScriptの標準化における重要人物Jordan Harband、およびExpressおよびNode.jsコアチームへの様々な貢献者が含まれている。これらの開発者の多くは、週に数億ダウンロードを獲得するライブラリを管理している。Aboukhadijehによると、このような攻撃は異常を超えて、ますます頻繁な現実となっているという。
敵対者は一貫した計算的な方法論で活動している。初期接触は通常、LinkedInやSlackを経由して確立され、企業代表者に偽装している。しばしば「Openfort」という名前を採用している。その後の会話は自然に見える：彼らは潜在的なコラボレーションについて議論し、通話を手配し、スケジュール変更に優雅に対応する。やがて、被害者はビデオ会議に招待される。
欺きはミーティング中にクライマックスを迎える。提供されたリンクは、ユーザーをZoomまたはMicrosoft Teamsを驚くほど正確に模倣する詐欺的なページに誘導する。インターフェースは細心に作成されており、時にはAIで生成されたビデオでレンダリングされた「相手役」を備えている。わずか数分で、オーディオまたは接続に関する模擬技術的エラーが、ユーザーにアプリケーションをダウンロードするか、ターミナルコマンドを実行して「問題を解決する」ことを促す。
ユーザーが従えば、マルウェアがデバイスに密かにインストールされる。一度パーシスタントになると、プログラムは機密データを収集し、60秒ごとにコマンド・アンド・コントロールサーバーと接触を確立する。この無許可のアクセスにより、アクセスキー、npmトークン、クラウド認証情報、ブラウザコンテンツの盗難が促進される。これらの資産を装備した攻撃者は、さらなる認証なしでソフトウェアパッケージの侵害されたバージョンを公開できる。
開発者Pelle Wessmanは並行する経験を語った：彼はポッドキャスト録画への招待を受け、他の「参加者」とのグループチャットに統合され、準備質問を提供された。通話中、詐欺的なサービスはソフトウェアのインストールを促した。ファイルを検査したWessmanは悪意のあるコードを発見し、実行を拒否した。初期の詐欺が失敗した場合、攻撃者はcurl経由でコマンドを実行するよう彼に促し、その後突然通信履歴をパージした。
Node.js貢献者Jean Burellerにより同様のシナリオが共有された。彼はスケジュール開始のわずか数分前にミーティングリンクを受け取った。URLは公式のMicrosoftドメインを模倣していたが、それは偽造サイトに通じていた。通話中に促された「更新」を拒否したとき、彼は関連するすべてのチャットから瞬時に追い出された。
これらの攻撃は焦った緊急性に依存していないが、信頼の細心な構築に依存している。敵対者は疑いを回避するために数週間接触を維持する可能性がある。悪意のあるインフラストラクチャは合法的なサービスを息をのむような精密さで複製し、AIで生成されたディープフェイクの配置により複雑さがさらに高まっている。
サイバーセキュリティ専門家Tayvanoはこのキャンペーンをグループ UNC1069に帰属させており、以前はMandiantによって特定されていた。以前は暗号通貨企業を標的としていたが、このグループはオープンソース開発者に方向転換している。理由は明確である：単一の人気のあるパッケージを侵害することで、数百万の依存プロジェクトへのゲートウェイを提供する。
npmレジストリは毎年数兆のダウンロードを促進しているため、単一の開発者の侵害は世界的なソフトウェアサプライチェーンへの直接的な脅威を構成する。保守管理者は、マルウェアがすでにデバイス上で動作している場合、2要素認証でさえ避け所を提供しないと警告している。同様に、現代的なパッケージ公開メカニズムは包括的なシステム乗っ取りに対して不十分である。
コミュニティは現在、これらの遭遇の透明性と共有ドキュメント化を求めている。キャンペーンが進化し、敵対者が新しいプラットフォームを探索する中で、単一の成功した侵害の影響は個人をはるかに超えて広がり、数百万のサービスとアプリケーションが依存する生態系全体を脅かしている。
