広範なJavaScript NPM攻撃が暗号エコシステム全体に自己複製型マルウェアを拡散

広範なJavaScriptサプライチェーンの侵害が400以上のソフトウェアパッケージに浸透し、複数の業界にわたって深刻な露出が指摘されています。サイバーセキュリティ研究者は、暗号通貨関連インフラにおいて深刻な脅威が存在することを警告しています。Aikido Securityの調査結果は、脅威アクターがShai Huludと呼ばれる高度な自己複製型マルウェアを展開し、開発者環境を通じて自律的に拡散し、機密資格情報を抽出しているという、憂慮すべきパターンを明らかにしています。

攻撃範囲と技術的仕組み

このマルウェアは、従来のNPMサプライチェーン事件とは異なる動作をします。デジタル資産を直接狙うのではなく、自己複製型のマルウェアは資格情報収集ツールとして機能し、感染した開発システムからウォレットキー、APIトークン、認証シークレットを体系的に盗み出します。各検出は誤検知を排除するために検証されており、研究者のCharlie Eriksenがソーシャルメディアで明らかにしています。

規模は依然として深刻です。サイバーセキュリティ企業Wizは、約25,000のリポジトリが侵害されており、約350人の異なるユーザーに属していると特定しています。新たな感染は30分ごとに1,000のリポジトリに及び、自律的に拡散しています。この拡散方法は、9月の以前の事件とは異なり、攻撃者が手動で$50 百万の暗号通貨を抽出した後に移動したものです。

暗号通貨インフラへの攻撃

少なくとも10のパッケージが被害に遭い、主にEthereum Name Service (ENS)インフラに関連しています。影響を受けたエコシステムには、次のような広く配布されているライブラリが含まれます。

• content-hash：週あたり約36,000回のダウンロード
• address-encoder：週あたり37,500回を超えるダウンロード
• ensjs、ens-validation、ethereum-ens、ens-contracts：すべて侵害されています

ENS専用ツールを超え、攻撃はcrypto-addr-codecというスタンドアロンの暗号化ユーティリティにも及び、週あたり約35,000回のダウンロードを記録しています。これらのパッケージは、数百の下流プロジェクトの基盤依存関係として機能しており、開発コミュニティ全体におけるリスク露出を拡大しています。

より広範な影響評価

この侵害は暗号通貨アプリケーションだけにとどまりません。著名な被害者には、Zapierなどのエンタープライズ自動化プラットフォームも含まれ、影響を受けたパッケージの中には週あたり4万回以上のダウンロードを記録しているものもあります。中には、週あたり150万回のダウンロードを報告しているライブラリもあり、数千のエンドアプリケーションに影響を及ぼす可能性があります。

Eriksenは、この事件の規模を「巨大」と表現し、完全な影響範囲を特定するための調査が進行中であると述べています。セキュリティ研究者からの即時の推奨事項は、npmインフラを利用している開発環境の徹底的な監査とともに、資格情報の緊急ローテーションおよびサプライチェーンの修復手順を実施することです。