- IronWormという名前のRust製情報窃取マルウェアが、Arweaveエコシステムに属する36のnpmパッケージに潜んでいた。
- このマルウェアは自己複製した後、9つの組織にわたって過去日付付きの悪意あるコミットを投稿した。
- 影響を受けたパッケージをインストールした開発者は、漏洩したすべてのシークレットを直ちにローテーション（変更）すべきである。
攻撃者はArweaveエコシステムに関連する36のnpmパッケージ内にインフォスティールを植えた。これは開発者の資格情報、SSHキー、Exodus暗号通貨ウォレットファイルをターゲットとした。セキュリティ企業のJFrogは、この攻撃が侵害されたメンテナーアカウントに遡れることを突き止めた。
マルウェアはIronWormと呼ばれ、Rustで構築されている。開発者がnpmパッケージをインストールした瞬間に起動する。一度実行されると、JFrogの研究チームの発見によれば、感染したコンピュータ内の86の環境変数と20の資格情報ファイルをスキャンする。AWSトークン、AnthropicおよびOpenAIのAPIキー、npm認証資格情報、暗号通貨ウォレットデータを狙う。
Arweaveプロジェクトパッケージには隠されたRustマルウェアが含まれている
攻撃者は、Arweave/WeaveDB分散型データベースプロジェクトの一部であるasteroid-dao GitHubグループに属する「asteroiddao」というnpmアカウントを侵害した。
「asteroiddao」アカウントに関連するすべてのパッケージは短期間に再公開され、各新しいバージョンにはtools/ディレクトリにある976 KBのLinuxファイルが含まれていた。
このファイルは、 preinstall フックを通じて package.json, npmが何もインストールを開始する前に起動するように設定されていた。被害者が行う必要があったのは、 npm install.
JFrogのチームはファイルを分解し、それが標準的な展開ツールをだますように設計された方法でパックされていることを発見した。内部には、各文字列が個別に暗号化され、それぞれが個別にロックされた大きなRustプログラムがあり、分析を大幅に困難にしていた。
それらの文字列が最終的にデコードされると、GitHub APIエンドポイント、資格情報ファイルへのパス、実際のGitHubユーザーIDに関連付けられた偽のボットアカウント、および他のパッケージレジストリへの悪意のあるコードの注入テンプレートが明らかになった。
盗まれたGitHubトークンにより、マルウェアはコミットをプッシュし、より多くのリポジトリに感染させた
資格情報を収集した後、IronWormはそれらを使用して、被害者がアクセスできるリポジトリにコミットをプッシュした。これらのコミットは、他のパッケージに同じ悪意のあるバイナリを植え付け、それらをnpmに公開して、連鎖の次の開発者を侵害できるようにした。
JFrogは、9つの57にわたって偽装された日付の悪意のあるコミットを発見した GitHub 組織。コミットは著者名「claude」とメール [email protected]を使用していた。タイムスタンプは、各リポジトリの最新の正当なコミットと一致するように偽造された。1つは13年前に遡るように見えたが、GitHub Actionsのログは、すべてのプッシュが発見の数日以内に発生したことを確認した。
影響を受けた組織には、asteroid-dao、weavedb、ArweaveOasis、および開発者「ocrybit」に関連するいくつかの個人アカウントが含まれていた。
IronWormはまた、感染したマシンに隠れるためにeBPFカーネルルートキットを展開した。オペレーターへの通信はTorネットワークを介してルーティングされた。Rustコンパイラは、ルートキットのソースコードをバイナリに残しており、これは分析を容易にする運用上のミスであった。
奇妙な点の一つは、オペレーターが自分の暗号通貨ウォレットの回復フレーズをマルウェアにハードコードしていたことである。JFrogは、これはテスト中にスティールが攻撃者自身の資格情報を外部に漏洩しないようにするための安全策であると結論づけた。
マルウェア攻撃がnpmを次々と襲っている
アプリケーションセキュリティ企業のOx Securityはこう述べている、この攻撃はnpm上の他のパッケージに広がる前に早期に検知された。
これらの悪意あるバージョンは1日以内に非推奨としてマークされ、バックデートされたコミットの大半は直後にGitHubから削除された。
5月14日、ハッカーは、週ダウンロード数が82万2,000回を超えるパッケージであるnode-ipcの非アクティブなメンテナーアカウントを悪用した。この攻撃は、メンテナーの有効期限切れのメールドメインを再登録し、npmパスワードをリセットすることで実行された。3つの侵害されたバリアントには、90種類以上の開発者シークレットを対象とした資格情報盗み出しペイロードが含まれていた。
セキュリティ企業のEndor LabsとStepSecurityは、同じ期間中に発生した、JavaScriptベースのマルウェア「binding.gyp」を使用した同時かつ別個の攻撃を特定した。このマルウェアは同様のレジストリ汚染とGitHub Actionsへの感染を引き起こした。
影響を受けたWeaveDBパッケージのいずれかをインストールした開発者は、すべての資格情報を回転させ、ロックファイルで予期しないバージョン変更がないか確認し、npmおよびGitHubアカウントで二段階認証を有効にする必要がある。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
よくある質問
IronWormとは何で、どのように拡散するのですか？
IronWormはRust製の情報窃取マルウェアであり、`npm install`実行時にpreinstallフックを通じて動作します。一度資格情報を入手すると、盗まれたGitHubおよびnpmトークンを使用して、被害者のリポジトリ内に悪意あるコミットを投稿します。
IronWorm攻撃によって影響を受けたnpmパッケージはどれですか？
この攻撃は「asteroiddao」npmアカウントの下で公開された36のパッケージを侵害し、これらはすべてArweave/WeaveDBエコシステムに関連付けられています。
IronWormが盗む認証情報はどのようなものですか？
マルウェアは86種類の実行環境変数と20種類の資格情報ファイルを標的にしています。これにはAWSトークン、OpenAIおよびAnthropicのAPIキー、npm認証シークレット、SSHキー、Exodus暗号通貨ウォレットファイルが含まれます。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
