IronWormマルウェア、Arweaveのサプライチェーン攻撃で36のnpmパッケージを侵害

IronWormと呼ばれるRustベースのワームが、Arweaveエコシステム内の少なくとも36のnpmパッケージを侵害し、開発者の認証情報を窃取してGitHubリポジトリ全体に自己増殖した後、消失した。

JFrog Security Researchは、ArweaveおよびWeaveDBのオープンソースエコシステム内の開発者アカウントに関連する不審なアクティビティを調査中に、このキャンペーンを特定した。Rustで書かれたこのマルウェアは、感染した開発者マシンからAPIキー、クラウド認証情報、SSHキー、npm公開トークンを収穫し、それらの認証情報を再利用して他のリポジトリに悪意のあるコードをプッシュする。

「最も近い比較対象はShai-Huludキャンペーンです」とJFrogの研究チームは水曜日に公開されたレポートで述べた。「私たちが調査したマルウェアはそれと多くの共通点があります。開発者を侵害し、認証情報を窃取し、信頼されたソフトウェアサプライチェーンのワークフローを利用してさらに拡散するという同じアイデアです。」しかし、IronWormはその概念を「次のレベル」に引き上げていると研究者らは付け加えた。

攻撃者は9つの組織に属するリポジトリ全体で少なくとも57の悪意あるコード変更を行い、コミットの日付を改ざんして侵害のタイムラインを不明瞭にした。一部のコントリビューションは、13年前のタイムスタンプが付いているにもかかわらず、「claude@users.noreply.github.com」というメールアドレスを使用してAnthropicのClaude AIモデルに帰属されていた。GitHub Actionのログは、これらのコミットが実際には侵害されたocrybitユーザーによってプッシュされたことを明らかにしたとJFrogは述べている。また、このキャンペーンを追跡していたOX Securityは、影響を受けたパッケージの月間ダウンロード数は、脅威が緩和される前に合計で32,000を超えていたと述べた。

既知の前例のないカスタムインプラント

JFrogによると、IronWormのペイロードは、同社のデータベース内の既知の情報窃取マルウェア、eBPFルートキット、またはコマンド＆コントロールフレームワークのいずれにも一致しなかった。このバイナリには、実行時にのみ復号できる暗号化された文字列を持つ数千の関数が含まれており、それぞれが単一のハードコードされたキーではなく、独自の復号パラメータを使用している。

このマルウェアは、クラウドプロバイダー、AIサービス、暗号通貨プラットフォームにわたる86の環境変数を標的とする。Amazon Web Services、Docker、Kubernetes、npm、vault設定の認証情報を収集するほか、Anthropic、OpenAI、Google Gemini、Cohere、Mistral、Groq、Perplexity、xAIなどのAIサービスのAPIキーも標的とする。また、Exodusデスクトップ暗号通貨ウォレットも標的とするが、攻撃者は自身のウォレットのBIP-39リカバリーフレーズをハードコードして、マルウェアがそれに触れないようにしていた。JFrogはこの詳細を、数セントのダストしか保持していないほぼ空のテストウォレットにまで特定した。

IronWormは、Linuxカーネルルートキットとして機能するeBPFペイロードを使用して、悪意のあるプロセス、ファイル、ネットワークアクティビティをセキュリティシステムから隠蔽する。カーネルロックダウンが有効になっているシステムでは、プロセス隠蔽のトリックが失敗し、アクティビティが再び可視化されるとJFrogは指摘した。このマルウェアはTorを介してオペレーターと通信し、シークレットのアップロード、ファイルのドロップ、リモートシェルの実行などのコマンドを受け付ける。

信頼された公開フローを悪用した自己増殖

攻撃チェーンは、「asteroiddao」という名前の侵害されたnpmアカウントから始まり、プリインストールフックを介して実行されるRust ELFバイナリを含むパッケージバージョンを公開した。CI環境では、マルウェアはnpmのTrusted Publishingフローを悪用し、開発者のCI環境からOIDCトークンを取得して、npm認証情報を必要とせずに悪意のあるバージョンをレジストリにプッシュした。

悪意のあるペイロードは、既存のGitHub Actionsワークフローを、シークレットを収穫し、無害に見えるファイルに書き込み、ビルドアーティファクトとしてアップロードするバージョンに置き換えた。これにより、データ流出のために外部のC2サーバーが不要となった。攻撃者はその後、公開から1日以内に悪意のあるパッケージをGitHubから静かに削除したとJFrogは述べている。

このキャンペーンは、サイバー犯罪グループTeamPCPが展開したShai-Huludワームを彷彿とさせる。同グループは以前、Trivyセキュリティスキャンツールやその他のプロジェクトを侵害し、CI/CDシークレットを標的とする情報窃取マルウェアを展開していた。しかし、IronWormはJavaScriptではなくRustで書かれており、リバースエンジニアリングが著しく困難になっている。JFrogは、IronWormがTeamPCPに直接関連しているのか、それとも模倣犯なのかは「確実にはわからない」と述べている。

この攻撃は、開発者環境がサプライチェーン侵害の主要な標的となっていることを浮き彫りにしている。単一の開発者を侵害することで、脅威アクターは信頼されたソフトウェアプロジェクトに悪意のあるコードを導入し、多数の下流組織に到達することができる。影響を受けた可能性のある組織は、ocrybitアカウントからのコミットについてリポジトリを監査し、侵害されたアカウントがアクセス可能なすべてのキーとシークレットをローテーションし、公開されたnpmパッケージに悪意のあるバージョンがないか確認する必要があるとJFrogは述べている。

本記事は情報提供のみを目的としており、投資助言を構成するものではありません。