- 4つの本物のSAP npmパッケージがハッキングされました。
- ハッカーたちは、開発者から暗号ウォレット、クラウド認証情報、SSHキーを窃取するコードを追加しました。
- これらのパッケージは週に500,000回以上のダウンロード数がありました。
SAPのCloud Application Programming Modelに関連する4つのnpmパッケージが盗まれた。ハッカーは、開発者から暗号ウォレット、クラウド認証情報、SSHキーを盗むコードを追加した。
Socketのレポートによると、影響を受けたパッケージバージョンは以下の通りである：
- [email protected]。
- @cap-js/[email protected]。
- @cap-js/[email protected]。
- @cap-js/[email protected]。
これらのパッケージは、SAP開発者コミュニティから週に約57万2,000回のダウンロードを集めている。
npmパッケージがクラウド認証情報と暗号ウォレットを盗む
セキュリティ研究者は、ハッキングされたパッケージが、GitHubからBunランタイムのバイナリをダウンロードして実行するスクリプトをプリインストールしていると説明した。その後、難読化された11.7MBのJavaScriptペイロードが実行される。
元のSAPソースファイルはそのまま残っているが、3つの新しい追加ファイルがある：
- 修正されたpackage.json。
- setup.mjs。
- execution.js。
これらのファイルは、実際のコードの作成から数時間後にタイムスタンプが付けられていた。これは、tarballが実際のソースからダウンロードされた後に改ざんされたことを示している。
Socket はこれを「協調的かつ自動化されたインジェクションキャンペーンの強力なシグナル」と呼び、ローダースクリプトは2つの異なる名前空間にあるにもかかわらず、4つのパッケージすべてでバイトレベルで同一であることを明らかにしました。
ペイロードが実行されると、システムがロシア語に設定されているかを確認し、設定されていれば停止する。その後、GitHub Actions、CircleCI、Jenkinsなどの25のプラットフォーム変数を確認して、CI/CD環境か開発者ワークステーションかによって処理を分岐する。
開発者コンピュータでは、マルウェアは80種類以上の異なる種類の認証情報ファイルを読み取る。これには、SSH秘密鍵、AWSおよびAzureの認証情報、Kubernetes設定、npmおよびDockerトークン、環境ファイル、11の異なるプラットフォーム上の暗号ウォレットが含まれる。また、ClaudeやKiro MCP設定などのAIツールの設定ファイルも狙われる。
ペイロードは2層の暗号化を持っている。`__decodeScrambled()`という関数は、PBKDF2を使用して20万回のSHA-256イテレーションと「ctf-scramble-v2」というソルトを用い、復号に必要な鍵を取得する。
関数名、アルゴリズム、ソルト、イテレーション回数は、以前のCheckmarxおよびBitwardenペイロードと同じである。これは、複数のキャンペーンで同じツールが使用されていることを示唆している。
Socketは「TeamPCP」という名前の活動を監視しており、「mini-shai-hulud」キャンペーンと呼ばれるもの専用の追跡ページを作成している。
ハッカーは暗号開発者を執拗に標的とする
SAPパッケージの侵害は、パッケージマネージャーを使用してデジタル資産の認証情報を盗む一連のサプライチェーン攻撃の最新のものだ。
Cryptopolitanが当時報告したように、研究者は2026年3月に、SolanaとEthereumの開発者から秘密鍵を盗み、それをTelegramボットに送信した5つのタイプスキャムされたnpmパッケージを発見しました。
1ヶ月後、ReversingLabsは「PromptMink」と呼ばれるキャンペーンを発見した。このキャンペーンでは、AI生成のコミットを通じて、オープンソースの暗号取引プロジェクトに悪意のあるパッケージ「@validate-sdk/v2」が追加された。
CryptopolitanのReversingLabsの調査結果に関する報道によると、北朝鮮の国家支援グループ「Famous Chollima」に結び付けられたこの攻撃は、暗号ウォレットの認証情報やシステムの秘密情報を特に狙っていた。
SAP攻撃は規模と方向性が異なる。実在するパッケージと似た名前の偽パッケージを作成するのではなく、攻撃者はSAPの名前空間の下で管理されている、実際に広く使用されているパッケージに侵入した。
セキュリティ研究者は、SAP CAPまたはMTAベースのデプロイメントパイプラインを使用しているチームが、影響を受けたバージョンについてロックファイルを直ちに確認することを推奨している。
露出期間中にこれらのパッケージをインストールした開発者は、ビルド環境で利用可能だった可能性のある認証情報とトークンを変更し、CI/CDログで予期しないネットワークリクエストやバイナリ実行がないか確認する必要がある。
研究者によると、影響を受けたバージョンの少なくとも1つである@cap-js/[email protected]は、すでにnpmから非公開になっているようだ。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
よくある質問
SAPサプライチェーン攻撃で侵害されたnpmパッケージはどれですか？
影響を受けるバージョンは、[email protected]、@cap-js/[email protected]、@cap-js/[email protected]、および@cap-js/[email protected]です。これらはすべてSAPのCloud Application Programming Modelおよびクラウドデプロイメントツールに関連しています。
マルウェアは感染したマシンからどのようなデータを窃取しますか？
ペイロードは、11の異なるプラットフォームからの暗号ウォレット、SSH秘密鍵、AWS、Azure、GCP、Kubernetesのクラウド認証情報、npmおよびDockerトークン、環境ファイル、AIツールの設定ファイルを収集します。
開発者は自分が影響を受けたかどうかをどうやって判断できますか？
研究者は、特定の侵害されたバージョンの依存関係ツリーやロックファイルを確認し、2026年4月29日の曝露期間中に発生すべきではなかったバイナリダウンロードやネットワークアクティビティについてCI/CDログをチェックし、ビルド環境で利用可能だった可能性のある資格情報を変更することをお勧めしています。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
