React Native Package 16種類に RAT：一晩で仕込まれた組織的な悪意とは？

Developers Beware! 16 React Native Packages With Million of Download Compromised Overnight

2025/06/09 CyberSecurityNews — 一週間のダウンロード数が合計で 100万回以上に達するという、人気の React Nativeパッケージ 16件が、巧妙なサプライチェーン攻撃により侵害され、NPM エコシステムに対する脅威が深刻化している。この、2025年6月6日に開始された攻撃では、React Native Aria エコシステムと GlueStack フレームワーク内のパッケージに体系的なバックドアが仕掛けられ、持続的なシステム制御とデータ窃取機能を確立する、高度なリモートアクセス型トロイの木馬 (RAT) が展開された。

この攻撃が始まったのは、6月6日午後21時33分 (GMT) です。それは、@react-native-aria/focus のバージョン 0.2.10 がリリースされた時であり、一夜限りの組織的な攻撃の第一弾の侵害である。

@react-native-aria (Source – Aikido)


このパッケージは、2023年10月18日以降において更新が行われなかったことで、突然の新バージョンのリリースは、セキュリティ監視システムにとって疑わしいものと映った。

この攻撃者は、空白スペースベースによる高度な難読化手法を用いて、”lib/commonjs/index.js” ファイル内に悪意のコードを隠蔽した。つまり、ワードラップ機能のない標準的なコード・エディタでの目視を逃れるために、実際のペイロードを画面外に表示するという戦術をとっていた。

最初の侵害に続き、夜間から翌日にかけて脅威アクターは、体系的にパッケージ群を標的とし、@react-native-aria/utils／@react-native-aria/overlays／@react-native-aria/interactions といった人気のライブラリを侵害し、最終的には @gluestack-ui/utils にまで攻撃範囲を広げた。

Aikido のアナリストが注目したのは、この攻撃が rand-user-agent パッケージに対する以前の攻撃を継承しており、機能が強化された、ほぼ同一のペイロード構造が展開されている点だった。

このマルウェアは、二重の C2 インフラと、強化された偵察機能を備えており、以前のサプライチェーン攻撃から大きく進化している。

この攻撃者は驚くべき粘り強さと連携力を発揮し、17時間という短い間に、16個のパッケージへの侵入を完了した。おそらく、自動化されたツールの使用、あるいは、綿密に連携されたチームワークによるものだと推測される。

これらのパッケージのダウンロード数は、一週間で 100万回以上とされるため、この攻撃者は、React Native 開発エコシステムにおいて、前例のない攻撃対象領域を獲得したことになる。

難読化とペイロード配信メカニズム

この攻撃者は、ペイロード配信において、洗練された多層アプローチを採用している。その第一歩は、ほとんどの開発環境で悪意のコードを隠蔽する、空白ベースによる難読化だ。

侵害された “index.js” ファイルの 46行目に挿入された主要なペイロードは、無害な空白のように見えるが、以下の難読化されたコードを取り込んでいる。

global['_V']='8-npm13';global['r']=require; (f

このペイロードは、グローバル名前空間を利用して永続性を維持し、通信チャネルを確立するための、包括的な RAT 展開の基盤を構築するものだ。

続いてマルウェアが、Node.js の組み込みモジュールを介して、プラットフォームの詳細／ホスト名／ユーザー名／システム・アーキテクチャなどの、システム情報を素早く取得していく。

この攻撃は、バージョンベースの C2 サーバを選択するという、高度な回避手法を示しており、展開されたペイロードのバージョンに基づき、複数の C2 エンドポイントが選択されるというロジックが取り込まれている。

この マルウェアは、”%LOCALAPPDATA%\Programs\Python\Python3127″ ディレクトリを介して Windows システムに永続性を確立し、正規の Python インストールを模倣して検出を回避していく。

さらに、この RAT には、システム・メタデータ収集用の “ss_info” や、外部 IP 列挙用の “ss_ip” といった、新しいコマンドで強化された偵察機能も取り込まれている。それが示すのは、包括的な環境認識と、潜在的なラテラル・ムーブメントの準備に、この攻撃者が重点を置いていることである。

npm エコシステムの人気ライブラリを狙う攻撃は、難読化や持続性の確保などを短時間で達成するという、きわめて高度で計画的なものです。依存パッケージに対する信頼が揺らいでいますが、監視の自動化などを考えるべきなのでしょうか。よろしければ、npm で検索も、ご利用ください。