SAP関連のnpmサプライチェーン攻撃で暗号通貨ウォレットが標的に

による

ランダ・モーゼス

3分で読めます（8分前）

4つの実際のSAP npmパッケージがハッキングされた。.
ハッカーたちは、開発者から暗号通貨ウォレット、クラウドdent情報、SSHキーを盗むコードを追加した。.
これらのパッケージは、週に50万回以上ダウンロードされた。.

SAPのクラウドアプリケーションプログラミングモデル（CAPM）に接続されていた4つのnpmパッケージが盗まれた。ハッカーは、開発者から暗号通貨ウォレット、クラウドdent情報、SSHキーを盗むコードを追加した。.

Socketの報告によると、影響を受けるパッケージのバージョンは以下のとおりです。

これらのパッケージを合わせると、SAP開発者コミュニティから週に約57万2000回ダウンロードされている。.

npmパッケージがクラウドdent情報と暗号通貨ウォレットを盗む

セキュリティ研究者らは、ハッキングされたパッケージには、GitHubからBunランタイムバイナリをダウンロードして実行するスクリプトがプリインストールされていると説明した。その後、難読化された11.7MBのJavaScriptペイロードが実行される。.

元のSAPソースファイルは残っていますが、新たに3つのファイルが追加されています。

変更されたpackage.jsonファイル。.
setup.mjs。.
実行.js.

これらのファイルには、実際のコードが公開されてから数時間後にタイムスタンプが付けられていました。これは、tarballが実際のソースからダウンロードされた後に変更されたことを示しています。.

Socketはた「組織的で自動化されたインジェクションキャンペーンの強い兆候」だtrondentdentdentdentdentdentdentdent。

ペイロードが実行されると、システムがロシア語に設定されているかどうかを確認し、設定されている場合は停止します。その後、GitHub Actions、CircleCI、Jenkinsなどの25個のプラットフォーム変数をチェックしてCI/CD環境が見つかったか、開発者ワークステーションが見つかったかに応じて分岐します。.

開発者のコンピューター上では、このマルウェアは80種類以上のdent情報ファイルを読み取ります。これには、SSH秘密鍵、AWSおよびAzureのdent情報、Kubernetes構成ファイル、npmおよびDockerトークン、環境ファイル、そして11種類のプラットフォーム上の暗号通貨ウォレットが含まれます。また、ClaudeやKiro MCP設定などのAIツールの構成ファイルも標的にします。.

ペイロードには2層の暗号化が施されています。`__decodeScrambled()`という関数は、PBKDF2と20万回のSHA-256反復、そして「ctf-scramble-v2」というソルトを使用して、復号に必要な鍵を取得します。.

関数名、アルゴリズム、ソルト、反復回数は、以前のCheckmarxおよびBitwardenのペイロードと同じである。これは、複数のキャンペーンで同じツールが使用されていることを示唆している。.

Socketは「TeamPCP」という名前で行われている活動を注視しており、「mini-shai-hulud」キャンペーンと呼ぶもの専用の tracページを作成している。.

ハッカーは暗号通貨開発者を執拗に標的にしている

SAPパッケージの侵害は、パッケージマネージャーを利用してデジタル資産のdent情報を盗む一連のサプライチェーン攻撃の中で、最も新しい事例である。.

ように Cryptopolitan 報じた当時 Solana と Ethereum 開発者から秘密鍵を盗み出し、Telegramボットに送信した5つのタイポスクワッティングされたnpmパッケージを発見した。

ReversingLabsは1か月後、PromptMinkと呼ばれるキャンペーンを発見した。このキャンペーンでは、AIが生成したコミットを通じて、@validate-sdk/v2という悪意のあるパッケージがオープンソースの暗号通貨取引プロジェクトに追加されていた。.

Cryptopolitanがを報じたところによると、北朝鮮の国家支援グループであるFamous Chollimaと関連付けられたこの攻撃は、特に暗号通貨ウォレットの認証dentとシステム秘密を狙ったものだったという。

SAPへの攻撃は、規模と方向性において従来とは異なる。攻撃者は、実在するパッケージに似た名前の偽パッケージを作成するのではなく、SAPのネームスペース内に保管されている、広く利用されている実際のパッケージに侵入した。.

セキュリティ研究者は、SAP CAPまたはMTAベースのデプロイメントパイプラインを使用しているチームに対し、影響を受けるバージョンについてロックファイルを直ちに確認することを推奨しています。.

脆弱性が露呈した期間中にこれらのパッケージをインストールした開発者は、ビルド環境で使用されていた可能性のあるdent情報やトークンをすべて変更し、CI/CDログを確認して、予期しないネットワーク要求やバイナリ実行がないかチェックする必要があります。.

研究者によると、影響を受けるバージョンの少なくとも1つ、@cap-js/[email protected]は、すでにnpmから公開解除されているようです。

銀行にお金を預けておくのと、仮想通貨で一か八かの賭けをするのとでは、中間的な選択肢があります。まずは、分散型金融。

よくある質問

SAPサプライチェーン攻撃で侵害されたnpmパッケージはどれですか？

影響を受けるバージョンは [email protected]、@cap-js/[email protected]、@cap-js/[email protected]、および@cap-js/[email protected]。これらはすべて、SAPのクラウドアプリケーションプログラミングモデルとクラウドデプロイメントツールに関連しています。

マルウェアは感染したマシンからどのようなデータを盗み出すのか？

このペイロードは、11種類の異なるプラットフォームから暗号通貨ウォレットを収集するほか、SSH秘密鍵、AWS、Azure、GCP、Kubernetesのクラウドdent情報、npmおよびDockerトークン、環境ファイル、AIツール構成ファイルも収集します。.

開発者は自分が影響を受けたかどうかをどのように判断すればよいのでしょうか？

研究者らは、侵害された特定のバージョンの依存関係ツリーとロックファイルを調べ、2026年4月29日の脆弱性暴露期間中に発生するはずのないバイナリのダウンロードやネットワークアクティビティがないかCI/CDログを確認し、ビルド環境で利用可能だった可能性のあるdent情報を変更することを推奨している。.

この記事を共有する

免責事項： 本情報は投資助言ではありません。Cryptopolitan.com Cryptopolitan、本ページの情報に基づいて行われた投資について一切責任を負いません。投資判断を行う前に、ごtrondentdentdentdentdentdentdentdent で調査を行うか、資格のある専門家にご相談されることを

ランダ・モーゼス

ランダはテクノロジーを専門とするライター兼編集者です。ブラッドフォード大学で電気tron工学の学位を取得しています。Forward Protocol、Amazix、Cryptosomniacで勤務経験があります。.

1. npmパッケージがクラウドdent情報と暗号通貨ウォレットを盗む

2. ハッカーは暗号通貨開発者を執拗に標的にしている

この記事を共有する