不可視コードを使用したサプライチェーン攻撃が発見
セキュリティ企業Aikido Securityは、悪意のあるパッケージが不可視コードを含むサプライチェーン攻撃を発見しました。この攻撃は、GitHubを含む複数のリポジトリに影響を与えています。
攻撃の詳細
Aikido Securityは、3月3日から9日にかけてGitHubに151の悪意のあるパッケージがアップロードされたことを報告しました。これらのパッケージは、通常のコードレビューと静的解析ツールでは検出が困難な不可視Unicode文字を使用しています。
不可視コードの仕組み
攻撃者は、Unicodeの公開使用領域を使用して不可視コードを生成しています。これらの文字は、人間には見えませんが、コンピュータには可視であり、JavaScriptインタプリタによって実行可能コードとして解釈されます。
攻撃の影響
- GitHub
- NPM
- Open VSX
これらのリポジトリは、攻撃の対象となっています。
対策
攻撃から身を守るためには、パッケージとその依存関係を慎重に検査することが重要です。特に、パッケージ名にタイポがあるかどうかを確認することも有効です。
結論
この攻撃は、サプライチェーン攻撃の新たな手法を示しています。開発者は、パッケージのインストール前に十分な検査を行うことが求められます。