概要

Python Package Index（PyPI）で発見された新たな悪意あるパッケージが、人気の象徴的数学ライブラリであるSymPyを装い、暗号通貨マイナーを含む悪意あるペイロードをLinuxホストに展開していることが判明しました。この「sympy-dev」と名付けられたパッケージは、SymPyのプロジェクト説明を verbatim（逐語的に）複製することで、ユーザーを欺き、ライブラリの「開発バージョン」であると信じ込ませようとしました。

感染の詳細

この悪意あるパッケージは2026年1月17日に公開されて以来、1,100回以上ダウンロードされており、一部の開発者がこの悪意あるキャンペーンの犠牲になった可能性を示唆しています。Socketの調査によると、オリジナルのライブラリは、侵害されたシステム上でXMRig暗号通貨マイナーのダウンローダーとして機能するように改変されていました。特筆すべきは、この悪意ある振る舞いが特定の多項式ルーチンが呼び出されたときにのみトリガーされるように設計されており、検出を回避しようとしていた点です。

攻撃メカニズム

セキュリティ研究者のキリル・ボイチェンコ氏の分析によれば、「sympy-dev」の改変された関数が呼び出されると、リモートJSON設定を取得し、脅威アクターが制御するELFペイロードをダウンロードします。その後、Linuxのmemfd_createと/proc/self/fdを使用して、匿名メモリバックファイル記述子から直接実行されます。これにより、ディスク上の痕跡が大幅に減少します。このメモリ常駐技術は、以前にもFritzFrogやMimoによるクリプトジャッキングキャンペーンで観測されています。最終的な目的は、XMRigを利用してLinuxホスト上で暗号通貨をマイニングする2つのLinux ELFバイナリをダウンロードすることにありました。

脅威の範囲とPyPIの対応

Socketによると、ダウンロードされた両方の設定はXMRig互換のスキーマを使用しており、CPUマイニングを有効にし、GPUバックエンドを無効にし、マイナーを同じ脅威アクターが制御するIPアドレス上のポート3333にあるStratum over TLSエンドポイントに誘導します。このキャンペーンではクリプトマイニングが確認されましたが、PythonインプラントはPythonプロセスの権限下で任意のセカンドステージコードを取得および実行できる汎用ローダーとしても機能します。幸いなことに、この悪意あるPythonパッケージは2026年1月24日の時点でPyPIから削除済みであり、新たなダウンロードは不可能となっています。

重要性

この事件は、オープンソースソフトウェアサプライチェーンにおけるセキュリティの重要性を改めて浮き彫りにするものです。開発者は、信頼できるソースからのパッケージのみを使用し、ダウンロードする前にその正当性を注意深く確認する必要があります。また、組織は、PyPIのような公共リポジトリからダウンロードされるパッケージのセキュリティスキャンを強化する対策を講じるべきです。

元記事: https://thehackernews.com/2026/01/malicious-pypi-package-impersonates.html