Node.js用NPMパッケージに危険なマルウェア「TurkoRat」が隠されている件

npmパッケージリポジトリで発見された2つの悪意のあるパッケージは、オープンソースの情報窃取マルウェア「TurkoRat」を隠していることが判明しました。

nodejs-encrypt-agentとnodejs-cookie-proxy-agentと名付けられたこのパッケージは、まとめて約1,200回ダウンロードされ、特定されて削除されるまで2ヶ月以上にわたって利用できました。

キャンペーンの詳細を説明したReversingLabsは、TurkoRatを、ログイン認証情報、ウェブサイトのクッキー、暗号通貨ウォレットのデータなどの機密情報を採取することができる情報窃盗犯と説明しています。

nodejs-encrypt-agentがマルウェアを内蔵していたのに対し、nodejs-cookie-proxy-agentは、axios-proxyという名前の依存関係としてトロイの木馬を偽装していることが判明しています。

また、nodejs-encrypt-agentは、agent-baseとして知られる別の正規のnpmモジュールになりすますように設計されており、現在までに2500万回以上ダウンロードされているそうです。

不正なパッケージとその関連バージョンの一覧は以下の通りです。

nodejs-encrypt-agent (バージョン 6.0.2, 6.0.3, 6.0.4, and 6.0.5)
nodejs-cookie-proxy-agent (バージョン 1.1.0, 1.2.0, 1.2.1, 1.2.2, 1.2.3, 1.2.4), および
アクシオス・プロキシ（バージョン1.7.3, 1.7.4, 1.7.7, 1.7.9, 1.8.9, および 1.9.9)
ReversingLabsの脅威研究者であるLucija Valentićは、「TurkoRatは、『テスト』目的で提供される多くのオープンソースマルウェアファミリーの1つに過ぎず、悪意のある使用目的で容易にダウンロード・修正することも可能です」と述べています。

今回の調査結果は、オープンソースパッケージを経由して脅威者がサプライチェーン攻撃を組織し、開発者をおびき寄せて信頼できないコードをダウンロードさせるという継続的なリスクを改めて強調したものです。

「開発組織は、依存関係を追跡し、潜在的な悪意のあるペイロードを検出するために、依存しているオープンソース、サードパーティおよび商用コードの機能と動作を精査する必要があります」とValentićは述べています。

悪意のあるnpmパッケージの使用が増加していることは、オープンソースソフトウェアのサプライチェーンに対する攻撃者の関心の高まりという広範なパターンに合致しており、言うまでもなく、脅威行為者の洗練度が高まっていることを浮き彫りにしています。

さらに心配なことに、Checkmarx社の研究者は今月、「小文字を使って元のパッケージ名の大文字を模倣する」ことによって、脅威者が本物のnpmパッケージになりすます方法を示す新しい研究を発表しました（例：memoryStorageDriver vs memorystoragedriver）。

"この悪意のあるパッケージのなりすましは、従来の「Typosquatting, 」という攻撃方法を新しいレベルに引き上げるもので、攻撃者は正規のものと全く同じ文字からなるパッケージ名を登録し、唯一の違いは大文字である "と研究者のTeach ZornsteinとYehuda Gelbは述べた。

サプライチェーンセキュリティ企業は、タイトルに大文字を含む3,815個のパッケージのうち1,900個が、2017年12月から存在するとチェックマークス社が発表したこの問題に対処するためにnpmのメンテナが推した修正がなければ、模倣攻撃の危険にさらされる恐れがあったことを明らかにしました。

今回の情報開示は、VS Codeの拡張機能マーケットプレイスでホストされている悪意のある拡張機能3つを特定した、チェックポイントの別のアドバイザリーにも続いています。これらは2023年5月14日の時点でパージされています。

prettiest java、Darcula Dark、python-vscodeと名付けられたこれらのアドオンは、累積で46,000回以上ダウンロードされ、脅威行為者が認証情報、システム情報を盗み、被害者のマシンにリモートシェルを確立できる機能が組み込まれていました。

npm と VS Code のマーケットプレイスだけでなく、Python Package Index (PyPI) ソフトウェアリポジトリからも同様の不正なライブラリのセットが発掘されているためです。

これらのパッケージの中には、KEKWと名付けられた暗号通貨クリッパーマルウェアを配布するために設計されたものもあれば、人気のあるflaskフレームワークのtyposquattedバージョンには、リモートサーバからコマンドを受信するバックドア関数が含まれていました。

今週、イスラエルのPhylum社が発見した別のPythonパッケージには、暗号化されたペイロードを保持する悪意のある依存関係が含まれており、暗号通貨取引をハイジャックするために、Discordトークンを取得し、クリップボードの内容を盗むことが判明しています。

このパッケージは、開発者のPatrick Pogoda氏によってchatgpt-apiと呼ばれ、GitHubを通じてアクセス可能で、策略を完成させようと、宣伝した機能（すなわち、OpenAIのChatGPTツールとの対話）を提供しました。このリポジトリは、執筆時点ではまだ利用可能です。

"今のところ、この脅威者はこのchatgpt-apiパッケージで[Large Language Models]の最近の爆発的な人気上昇を利用しているようです。"とPylumは述べ、脅威者はおそらく、それが取り下げられるたびに悪意のある依存関係の新しいイタレーションをアップロードする自動メカニズムを持ち、「持続感染を維持している」と付け加えました。

---

私について
東京を拠点にサイバーセキュリティの実践スペシャリストとして活動中です、私の日本語は完璧ではありませんが、あなたと快適に話すことができます。
LinkedIn - https://www.linkedin.com/in/arpitjain099/
GitHub - https://github.com/arpitjain099