悪意のあるnpmパッケージが暗号キー、CIシークレット、APIトークンを収集

サイバーセキュリティ研究者が供給チェーン攻撃の詳細を発表

サイバーセキュリティ研究者は、「Shai-Hulud」型の供給チェーンワームキャンペーンについて、悪意のあるnpmパッケージを使用して資格情報を収集し、暗号通貨キーを盗むという詳細を発表しました。この攻撃はSocket社によってSANDWORM_MODEと命名されています。

これらのパッケージは、以下のnpmパブリッシャー名義で公開されました：

悪意のあるnpmパッケージのリストは次のとおりです：

これらのパッケージは、GitHub Actionsを悪用してCI/CDシークレットを収集し、HTTPS経由でエクスフィラートします。また、GitHubやnpmへのアクセスが失われた場合にホームディレクトリのデータを消去する破壊的なルーチンも含まれています。

これらのパッケージには、McpInjectモジュールが含まれており、これはAIコーディングアシスタントを標的とし、悪意のあるモデルコンテキストプロトコル（MCP）サーバーをデプロイします。このサーバーは正当なツールプロバイダーとして偽装し、3つの無害に見えるツールを登録します。

これらのパッケージをインストールしたユーザーは、すぐにそれらを削除し、npm/GitHubトークンやCIシークレットを更新する必要があります。また、package.jsonファイルや.github/workflows/ディレクトリの変更も確認してください。