多くの開発者が危険にさらされる、攻撃者が人気コードリポジトリに不正コードを混入
北朝鮮のハッカーとみられるグループは、ここ最近で最も巧妙な運用を伴うサプライチェーン攻撃の一つを実行し、毎週約1億回ダウンロードされるJavaScriptライブラリ「Axios」を侵害した。3月31日未明に約3時間続いた攻撃では、医療、金融、暗号資産取引所、技術分野の数千社が使用するソフトウェアに不正コードが注入された。セキュリティ研究者は、改ざんされたバージョンがライブラリ利用者の約3％にダウンロードされたと推定しており、暗号資産や企業の認証情報を盗み出すために設計された遠隔アクセス型トロイの木馬により、最大で数十万件のシステムが危険にさらされた可能性がある。
目次
Axiosは、Node.jsとブラウザーの双方から非同期APIリクエストを可能にする、PromiseベースのHTTPクライアントであり、現代のウェブアプリケーションを支える基盤部品だ。医療機関から金融機関まで、幅広い企業がウェブサイト構築とデータ交換を簡素化するためにこのライブラリを利用している。暗号資産関連企業やデジタル資産産業に携わる技術企業の一部もこのソフトウェアを使用しており、外貨獲得を目的とする北朝鮮のサイバー攻撃にとって、特に価値の高い標的となる。企業環境におけるAxiosの普及が広範であることから、今回の侵害は下流の依存パッケージや連携サービスにも連鎖的なリスクをもたらす。
Googleの脅威インテリジェンスグループは、この事件を、少なくとも2018年から活動している金銭目的の北朝鮮系脅威アクター「UNC1069」によるものだと正式に特定した。同グループは、北朝鮮の核・ミサイル計画の資金調達を目的に、暗号資産取引所、分散型金融プラットフォーム、ベンチャーキャピタルを標的にしてきたことで知られる。Google傘下のインテリジェンス企業マンディアントによれば、これは高価値の経済標的に対して世界規模のソフトウェアサプライチェーンを兵器化しようとする北朝鮮の攻撃における最新の激化を示すものだ。
マンディアントの最高技術責任者チャールズ・カーマカル氏は、この脅威が長期にわたる可能性を次のように説明した。
我々は、同グループが今回のソフトウェアサプライチェーン攻撃で最近入手した認証情報とシステムアクセスを利用し、企業を標的に暗号資産を盗み出そうとすると予想しています。この攻撃キャンペーンの下流への影響を評価するには、数カ月かかる可能性があります。
セキュリティ企業Huntressの研究者ジョン・ハモンド氏は、同社がすでに約12社に属する約135台の侵害端末を特定したと報告した。ただしこれは、各組織がフォレンジック監査を完了するにつれて判明する初期段階にすぎないと同氏は予想している。
サプライチェーン侵害の手口
攻撃は、Axiosライブラリの主要メンテナーである「@jasonsaayman」のnpmアカウントをハッカーが乗っ取ったことで始まった。脅威アクターは、高度なゼロデイ脆弱性を悪用する代わりに、OpenID Connectベースの認証フローを含む最新のセキュリティ対策を回避するために、長期間有効なアクセストークンを使用した。これにより、標準的なセキュリティ警告を発生させることなく、また多要素認証を必要とすることなく、Node Package Managerレジストリに「1.14.1」と「0.30.4」という、トロイの木馬を仕込んだ2つのバージョンを直接公開できた。
ハモンド氏は、攻撃を可能にした重大な設定不備を指摘した。OIDC Trusted Publishingが設定されていたv1.xブランチでも、公開ワークフローはOIDC認証情報に加えてNPM_TOKENを環境変数として渡していた。両方が存在する場合、npmはトークンを使用する。つまり、OIDCの設定に関係なく、すべての公開者にとって長期間有効なトークンが実質的な認証手段となっていた。この設計上の不備により、メンテナーがアカウントで多要素認証を有効にしていたにもかかわらず、攻撃者は保護策を回避できた。これは、レガシー認証メカニズムが modern なセキュリティ基盤をいかに損ないうるかを示している。
攻撃者は入念な準備と忍耐強さを示した。主攻撃の18時間前には、公開履歴のないアカウントとしての疑いを避けるため、plain-crypto-jsと呼ばれる幽霊依存パッケージの正常なバージョンを公開し、公開実績を作った。最初の不正なAxiosリリースの20分前には、開発者が侵害されたライブラリをインストールまたは更新した際に自動実行されるインストール後スクリプトを含む、この依存パッケージの兵器化版を投入した。その後わずか39分で、バックドアを仕込んだ2番目のリリースが公開された。これは、限られた機会の期間内で配布を最大化するよう、同グループが公開パイプラインを自動化していたことを示している。
攻撃中、メンテナーは制御権を取り戻すうえで大きな困難に直面した。公開されたGitHubのissueで、協力者の一人は、不正な公開を行ったアカウントのアクセスを取り消せなかったと述べ、攻撃者の権限が自分たちのそれを上回っていたと説明した。ハッカーが公開権限を保持する一方、開発コミュニティが被害の封じ込めに追われるという、時間との競争が生じた。npmは最終的に、初期リリースから3時間後に不正なバージョンを公開解除し、plain-crypto-jsパッケージにセキュリティ保留を設定した後、1時間後にセキュリティ保全用スタブで置き換えた。
複数プラットフォームに感染するマルウェアが永続的なバックドアを仕込む
インストールされると、不正な依存パッケージは難読化されたJavaScriptドロッパー「SILKBELL」を展開し、sfrclak.comのリモートコマンドアンドコントロールサーバーからプラットフォーム別のペイロードを取得した。Windowsシステムには、任意のコマンドを実行できるPowerShellベースのツールが配信された。macOSユーザーにはC++製のMach-Oバイナリが、Linux環境にはPython製バックドアが標的として仕込まれた。セキュリティ研究者は、この第2段階のマルウェアを「WAVESHAPER.V2」と特定した。これは、2023年にまでさかのぼる暗号資産分野への攻撃でUNC1069の仕業とされたバックドアの発展型である。
攻撃の技術的構成からは、意図的な隠蔽性とプラットフォームへの対応がうかがえる。公開リポジトリで確認され、コードレビューの警告を引き起こすAxiosソースコードを直接改変するのではなく、ハッカーは依存関係チェーンを通じて不正機能を組み込んだ。セキュリティ企業StepSecurityの研究者は、「Axios自体には不正コードが1行もない。それがまさに、この攻撃をこれほど危険なものにしている」と指摘した。plain-crypto-jsパッケージは、package.jsonファイル内のpostinstallフックを通じて実行され、マルウェアはインストール処理中に静かに動作した後、自身の痕跡を消去し、パッケージメタデータを正常なバージョンに置き換えた。
WAVESHAPER.V2は60秒ごとにコマンドアンドコントロール基盤へ通信を送信し、コマンドライン引数で動的なC2 URLを受け付ける。この設計により、攻撃者はマルウェアを再展開することなく基盤を切り替えられる。バックドアは、実行プロセスの終了、タイムスタンプやファイルサイズなどの詳細なメタデータを含むディレクトリの列挙、macOSのAppleScriptやLinuxのシェルコマンドといったネイティブスクリプト言語によるシステムコマンド実行、実行中プロセスへの任意バイナリの注入、という4つの主要機能を備えている。Elastic Security Labsの分析により、macOSバイナリには、過去のRustBucketおよびHidden Riskマルウェア攻撃におけるBlueNoroffのwebTモジュールに直接つながる開発者用ビルドパスへの参照が含まれていたことが判明し、北朝鮮が攻撃主体であるとの判断をさらに裏付けている。
北朝鮮のデジタル外貨獲得マシン
北朝鮮のハッキング活動は、制裁下にある核兵器計画の主要な資金調達手段へと発展した。2023年に公表された国連報告書とホワイトハウスの推計によれば、北朝鮮のミサイル開発資金の約半分はサイバー窃盗によるもので、ハッカーはここ数年で銀行や暗号資産企業から数十億ドルを盗み出した。昨年には、北朝鮮の工作員が単一の記録的な攻撃で15億ドル相当の暗号資産を盗み、大規模に高価値標的を侵害する能力を示した。
クラウドセキュリティ企業Wizの戦略脅威インテリジェンス責任者ベン・リード氏は、北朝鮮が他の国家系アクターとは異なる形で活動していると説明した。
北朝鮮は自国の評判や最終的に特定されることを気にしません。そのため、この種の攻撃は非常に騒がしく注目されますが、その代価をいとわないのです。
このリスク許容度により、北朝鮮は、外交上の波及や攻撃元特定を懸念して他の国が避けかねない、露骨なサプライチェーン攻撃を実行できる。今回のAxios侵害は、3年前に北朝鮮の工作員が医療企業やホテルチェーンが音声・映像通話に使用するソフトウェア提供企業3CXに侵入したとされる事件と同様のパターンを示している。
Google脅威インテリジェンスグループのチーフアナリスト、ジョン・ハルトキット氏は、同グループがデジタル資産に特に重点を置いている点を強調した。
北朝鮮のハッカーはサプライチェーン攻撃に深い経験があり、これまで暗号資産の窃取に利用してきました。今回の事件の全容はまだ明らかではありませんが、侵害されたパッケージの普及度を考えると、影響は非常に広範囲に及ぶと予想しています。
UNC1069は以前、偽のZoom会議、ソーシャルエンジニアリング手口、複数の独自マルウェアファミリーを利用してフィンテック企業を標的にしており、暗号資産エコシステムに対する持続的かつ進化し続ける関心を示している。
サプライチェーン脆弱性の連鎖
Axios事件は、オープンソースソフトウェアのエコシステムを狙うサプライチェーン攻撃が懸念されるほど急増するなかで起きた。過去1カ月間、セキュリティチームは、人気のあるセキュリティスキャンツール「Trivy」、AIモデル統合に広く使われるPythonライブラリ「LiteLLM」、通信プラットフォーム「Telnyx」など、侵害が次々と連鎖する事案に対応してきた。Googleは、Axios攻撃が最近のTeamPCPサプライチェーン問題とは無関係だと確認しているが、成功した侵害はそれぞれ、攻撃者に新たな認証情報と追加リポジトリへの初期アクセスを与え、侵害が自己増殖する循環を生み出している。
カーマカル氏は、最近の攻撃ラッシュにより、盗まれた秘密情報が大量に蓄積されたと警告した。同氏は、「過去2週間で盗まれた秘密情報は、今後数日、数週間、数カ月にわたって、さらなるソフトウェアサプライチェーン攻撃、下流顧客の侵害につながるソフトウェア・アズ・ア・サービス環境の侵害、ランサムウェアや恐喝事件、暗号資産窃盗を可能にします。我々は数十万件の盗難認証情報を把握しています。これらの攻撃背後には、動機の異なる多様なアクターがいます。昨日のaxios npmサプライチェーン攻撃の影響範囲は広く、axiosに依存する他の人気パッケージにも及んでいる」と説明した。
SentinelOneのシニア研究者トム・ヘゲル氏は、この脅威が目に見えにくいことを強調した。
ウェブサイトを開くとき、銀行残高を確認するとき、スマートフォンでアプリを開くとき、どこかの背景でAxiosが動作し、それを可能にしている可能性は十分にあります。クリックする必要も、ミスをする必要もありません。すでに信頼しているソフトウェアが、あなたの代わりにそうしたのです。
この見解は、サプライチェーン攻撃が、確立されたソフトウェア部品に利用者が抱く暗黙の信頼を悪用し、従来のセキュリティ研修やエンドポイント保護をすり抜ける様子を浮き彫りにしている。
回避技術とフォレンジック対策
攻撃者は、事件対応と検出を困難にする高度な対フォレンジック手法を実装した。実行後、マルウェアは自身のインストールファイルを削除するだけでなく、防御側を欺くためにバージョン報告を操作した。不正なplain-crypto-jsパッケージは、4.2.1ではなく4.2.0として自身を報告し、パッケージの完全性を検証するセキュリティチームに混乱を生じさせた。このバージョン偽装技術は、実際には侵害された版をインストールしているにもかかわらず、管理者に正常なソフトウェアが動作していると確信させることを狙ったものだ。
ReversingLabsのチーフソフトウェアアーキテクト、トミスラヴ・ペリチン氏は、この攻撃を単発の事件ではなく、今後の攻撃の雛型だと説明した。
ここに記録された運用上の高度さ、すなわちメンテナー認証情報の侵害、3つのオペレーティングシステム向けに構築された事前配置ペイロード、40分以内に両方のリリースブランチへの攻撃、内蔵されたフォレンジック自己破壊機能は、これを拡張可能な作戦として計画した脅威アクターの存在を示しています。この攻撃キャンペーンが現在PyPIやNuGetにも現れているなら、攻撃手口がすでに示唆していた内容、つまり最大限の開発者への到達が目標だったという点と整合します。
組織は今後、npmの依存パッケージだけでなく、ビルドパイプラインに供給されるすべてのパッケージマネージャーを監査しなければならない。ハモンド氏は、現在の開発トレンドが自動化に向かうなかで、この攻撃のタイミングが特に懸念されるとしている。同氏は、「監査やガードレールなしにソフトウェアを生成するAIエージェントが組織内で急速に普及していることを考えると、ハッキングのタイミングは完璧だった」と述べた。リスクは、Axiosの直接利用者だけでなく、開発ツールが依存関係を自動的に解決するすべての組織に及ぶ。Semgrep創業者のアイザック・エヴァンス氏は、バージョンを固定し、ロックファイルを維持し、標準的な衛生管理を徹底していた開発者でも、統合開発環境が背後で依存パッケージを取得したために攻撃を受けた可能性があると指摘した。
ソフトウェアサプライチェーンの保護
各業界のセキュリティチームは現在、曝露状況の評価と侵害システムの復旧に追われている。Axiosを利用する組織は、依存関係ツリーを直ちに監査して1.14.1と0.30.4のバージョンを確認し、1.14.0や0.30.3といった検証済みの安全なバージョンへダウングレードするとともに、インストール期間中にアクセス可能だったすべての認証情報をローテーションしなければならない。侵害の技術的指標には、node_modulesディレクトリ内のplain-crypto-jsの存在、sfrclak.com（IPアドレス142.11.206.73）へのネットワーク接続、macOSシステムの/Library/Caches/com.apple.act.mondなどの一時ディレクトリ内の疑わしいプロセスが含まれる。
直ちに講じるべき緩和策は、誤った更新を防ぐためpackage-lock.jsonファイルでAxiosを既知の安全なバージョンに固定すること、不正な依存パッケージの有無を確認すること、確認された不正プロセスを終了すること、ネットワーク境界で特定されたコマンドアンドコントロールドメインを遮断すること、影響を受けたシステムを本番ネットワークから分離すること、侵害期間中に漏えいした可能性のあるすべての秘密情報と認証情報をローテーションすることなどだ。組織はまた、マルウェアに収集された可能性のあるAPIキーやサービスアカウントが不正に使用されていないか、アクセスログも確認すべきである。
SonatypeのフィールドCTOイルカ・トゥルネン氏は、この事件が暴いた根本的な信頼の問題を強調した。同氏は、「この攻撃は、ハッカーがコードそのものではなく、人々がコードに抱く信頼を悪用していることを示しています」と説明した。「不正機能は段階的な依存関係を通じて導入され、自身の痕跡を消すよう設計されていたため、攻撃の発見が難しく、理解にも時間を要しました。これは単なるマルウェアではなく、より意図的で成熟した手順書を示しています」。Kaseyaのセキュリティ責任者マイク・プグリア氏は、今回の事件は、1つのアカウントの侵害だけで数万の組織が数時間のうちに危険にさらされうるという、世界のソフトウェアエコシステムの脆弱性をさらに示すものだと指摘した。
要点
- 北朝鮮系脅威グループUNC1069が、週1億回ダウンロードされ、クラウド環境の約80％に存在するJavaScriptライブラリAxiosを侵害した
- 不正なバージョン1.14.1と0.30.4は3月31日から約3時間公開され、利用者の約3％、最大60万回のダウンロードに相当する規模で取得された
- 攻撃ではplain-crypto-jsと呼ばれる幽霊依存パッケージを使用し、Windows、macOS、Linuxシステムに感染できる複数プラットフォーム対応バックドアWAVESHAPER.V2を展開した
- Googleマンディアントは、同グループが盗んだ認証情報を長期的な暗号資産窃取作戦に利用し、北朝鮮の核・ミサイル計画の資金調達に充てると予想している
- マルウェアは自己削除や、検出回避のため4.2.1ではなく4.2.0と自身を報告するバージョン偽装など、高度な対フォレンジック機能を備えていた
- 組織は依存関係ツリーを監査し、すべての認証情報をローテーションし、C2ドメインsfrclak.comとIP 142.11.206.73を遮断し、直ちに安全なAxiosバージョンへダウングレードしなければならない
- 侵害はOIDC認証制御を回避した長期間有効なアクセストークンを通じて発生し、レガシー認証情報の整理の必要性を浮き彫りにした
