Long-Running NPM Malware Campaign Accumulates 40,000 Downloads
2026/10/06 SecurityWeek — Checkmarx の報告によると、長期間にわたる NPM サプライチェーン攻撃の一環として公開された悪意のパッケージが、累計で 4 万回以上ダウンロードされたと報告されている。この MALFEX と名付けられた攻撃では、Overlord RAT／情報窃取マルウェアなどが配布されており、最初のパッケージが公開された 2023年8月から活動が続いている。攻撃者はこれまでに 12 個のパッケージを公開しており、そのうち 8 個が悪意のあるパッケージである。これらのパッケージのうち 5 個はレジストリから削除されたが、10月1日時点では function-flag／function-color／cdn-img-fetch の 3 個が依然としてインストール可能な状態にある。
Checkmarx によると、特に注意が必要なのは function-flag である。このパッケージは 2025年7月から悪意の状態にあり、ダウンロード数は 37,000 回を超えているが、悪意のパッケージとして警告するアドバイザリは存在しない。
Open Source Vulnerabilities (OSV) のアドバイザリで公開されているのは、tlxbnhd／tldriver／mxdriver／img-to-native／native-runner／cdn-img-fetch の 6 個の悪意のパッケージである。ただし、cdn-img-fetch のエントリが対象としているのは、4 回にわたる悪意の変更のうちの 2 回だけである。
Checkmarx が特定したのは、この攻撃で使用された 3 つの独立した配信経路である。これらは同一の攻撃者と関連しているが、インフラは共有していないという。
1 つ目の経路では、Overlord RAT のローダーと、npm install の実行時に起動する難読化されたスクリプトが使用される。このスクリプト自体は Windows／macOS／Linux で起動するが、ペイロードが動作するのは Windows システムだけである。
Overlord RAT は、攻撃者に監視と制御の機能を提供する。具体的には、画面のキャプチャ／キーロギング／ウィンドウの監視／リモートシェルへのアクセス／ファイルの検索などであり、検知されずに悪意の活動を実行するための隠しデスクトップなどの機能を備えている。
2 つ目の経路では、パッケージが読み込まれた際に悪意のコードが実行され、Node.js の情報窃取マルウェア「movinlike」が被害者のマシンへ配置される。このマルウェアは、8 種類の Discord クライアント／7 種類の主要なブラウザ／暗号資産ウォレットを標的としてデータを窃取する。
3 つ目の経路は、この攻撃で最も長期間にわたって使用されているものだ。悪意の function-flag の各バージョンには、それぞれ異なる場所からペイロードを取得するよう設計された、個別のダウンローダーが組み込まれている。
Checkmarx によると、感染の操作でペイロードのダウンロードに失敗しても、パッケージ自体のインストールは完了できるよう実装されている。この処理は macOS／Linux ではエラーを表示せず失敗するため、影響を受けるのは Windows システムだけとなる。
Checkmarx は、「正規のパッケージ／広く利用されているパッケージで、攻撃者のパッケージに依存しているものは存在しない。そのため、影響を受けるのは、これらの名前のパッケージを直接インストールしたシステムに限られる。地域／組織を狙った標的化は確認されていないが、この情報窃取マルウェアをインストールした者は誰でも標的になる」と説明している。
NPM レジストリを介した、長期的なサプライチェーン攻撃と悪意のパッケージ配布について解説する記事です。Overlord RAT や情報窃取マルウェアを配布する不正パッケージの公開に伴い、端末の遠隔制御／認証情報の漏えい／暗号資産やメッセージアプリ関連データの奪取といったリスクが発生しています。対応策として不審なパッケージのインストール回避／依存関係の検証／定期的なセキュリティ・スキャンが求められます。
You must be logged in to post a comment.