約800の悪意あるnpmパッケージがWindows、Mac、LinuxをターゲットにしたクロスプラットフォームRATを配布

npmレジストリで大規模な悪意のあるパッケージキャンペーンが発見され、開発者システムにクロスプラットフォームのリモートアクセス型トロイの木馬や情報窃取ツールを配布することを目的とした約800のパッケージが確認されました。

非従来型の攻撃手法：READMEを配信メカニズムとして利用

preinstallやpostinstallなどのライフサイクルフックを使用して悪意のあるコードを自動実行する一般的なnpmサプライチェーン攻撃とは異なり、このキャンペーンは異なるアプローチを採用しています。OpenSourceMalwareの研究者Paul McCartyによると、これらのパッケージにはREADMEファイルが含まれており、開発者に直接悪意のあるモジュールをロード・実行するよう指示することで、従来のセキュリティスキャンメカニズムを回避しています。

パッケージ名はAI生成またはランダムに生成されたタイポスクワット文字列を使用しており、人気パッケージ名を模倣し開発者を誤解させようとしています。

WEL1DROPPER：多層的な攻撃アーキテクチャ

開発者がREADMEの指示に従って悪意のあるコードを実行すると、「WEL1DROPPER」というダウンローダーが起動します。このプログラムはまずホストOSとプロセッサアーキテクチャを識別し、3つのCloudflare Workersサーバーのいずれかから互換性のあるペイロードを取得します。

HTTPSダウンロードが失敗した場合、マルウェアはフォールバックメカニズムを使用し、DNS TXTレコードを通じて特定のドメイン(wel1[.]ru)から次段階のペイロードをチャンク単位で取得します。McCarty氏は、マルウェアが最初にTXTレコードを要求してチャンク数(1〜2,000)を取得し、各チャンクを順次取得して最終ペイロードに再構築すると説明しています。

macOSとLinuxも標的に

サイバーセキュリティ企業Sonatypeの分析によると、macOS感染チェーンはWindows版と同様で、リモートサーバーからペイロードをダウンロードする前にデバッガーや解析痕跡を確認します。プライマリダウンロードが失敗した場合、同じDNS TXTレコードフォールバックを使用します。

LinuxサンプルはUPXでパックされたELFバイナリで、最終的に攻撃者が攻撃後のツールとして頻繁に使用するオープンソースのC2フレームワーク「Sliver」を展開します。

標的と起源

研究者らは、macOSペイロード内にtcsbank[.]ruやcloudpayments[.]ruなどのロシア関連ドメインを確認し、このキャンペーンがロシアの金融機関やモバイル決済システムを標的にしている可能性を示唆しています。また、この作戦は4月前半に観測された「Moika」というコードネームの依存関係混同キャンペーンの進化形と疑われており、当時はnpmに250以上のパッケージが公開されていました。

Palo Alto Networks Unit 42は同時に、npmとPython Package Indexの両方を標的とした複数のキャンペーンを記録しており、オープンソースパッケージエコシステムが直面するセキュリティ脅威の増大を浮き彫りにしています。

資料來源: The Hacker News