大規模なPyPIサプライチェーン攻撃がPythonスタートアップフックを介してクラウドクレデンシャルを収集

SOC Prime Team

フォローする

大規模なPyPIサプライチェーン攻撃がPythonスタートアップフックを介してクラウドクレデンシャルを収集

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

Hadesキャンペーンとして知られる協調されたサプライチェーン作戦が、クラウド資格情報を盗むために26のPyPIパッケージを危険にさらしました。この攻撃はPython .pth ファイルを悪用してインタープリタ起動時に悪意のあるコードをトリガーし、Bun JavaScriptランタイムを使用してペイロードを実行します。それはAWS、GCP、Azure、Kubernetes、およびGitHubに関連する秘匿情報を複数のオペレーティングシステムで収集することを目的としています。

調査

Orca Securityは、バイオインフォマティクスおよび開発者ツーリングエコシステムに広がる37の悪意のあるホイールファイルを特定しました。彼らの分析は、マルウェアがBunをダウンロードして難読化されたJavaScriptペイロードを実行するクロスランタイム技術を明らかにしました。このキャンペーンはまた、Anthropic AIサービスへのおとりトラフィックを生成し、LLMベースのセキュリティレビューの効果を低下させるためのプロンプトインジェクション技術を使用します。

緩和策

組織は直ちに影響を受けたパッケージを削除するか、安全なバージョンに固定し、潜在的に露出した資格情報をすべて回転させるべきです。これにはクラウドアクセストークン、GitHub個人アクセストークン、SSHキー、およびDockerレジストリ資格情報が含まれます。セキュリティチームは、Linux、macOS、およびWindowsホスト上の既知の持続性アーティファクトを探すべきです。

対応

妥協が疑われる場合、被害システムを隔離して資格情報を回転させる前に、の gh-token-monitor デーモンによる恐喝のリスクを減らすために、資格情報を回転させるべきです。毒されたパッケージを実行した開発者のワークステーションやCI/CDランナーを再構築してください。攻撃者の命名パターンに合致する未承認のコミットや新しく作成されたリポジトリをGitHubリポジトリ内で確認してください。

攻撃フロー

攻撃の叙述とコマンド： 敵は、悪意のあるPyPIパッケージ（Hadesキャンペーン）を介して開発者のワークステーションを成功裏に侵害しました。Pythonスタートアップフックが実行され、ローカルのメモリ/キャッシュからAzure認証トークンを正常にスクレイピングしました。この活動の検出をAzure監査ログでシミュレートするために、説明フィールドに特定の文字列「Azure認証トークン」が含まれる監査ログエントリの生成をシミュレートします。これは、自動システムがそのような外部へのデータ漏洩を検出した際に報告するであろうイベントテレメトリを模倣します。

回帰テストスクリプト： 実際のAzureバックエンドに特定の悪意のある説明文字列を生成させるのは容易ではないため、 テレメトリストリームにログを存在させる ことをシミュレートします（BASではワークスペースに合成ログを注入することでよく行われます）。

# トークン漏洩検出のシミュレーションのための合成ログ注入
# 対象文字列で 'Description' フィールドが埋められることをシミュレートします。
$LogEntry = @{
    TimeGenerated = (Get-Date).ToString("yyyy-MM-ddTHH:mm:ssZ")
    OperationName = "TokenExfiltrationDetected"
    Result = "Success"
    Description = "マルウェア活動が検出されました：Azure認証トークンがローカルプロセスから抽出されました。"
    Identity = "malicious-python-hook@attacker.com"
}

Write-Host "検出ルールを検証するために合成テレメトリを注入中..."
# 実際のBASでは、これはLog Analytics Data Collector APIを呼び出すでしょう
# シミュレーション目的で、結果のログエントリを表します：
$LogEntry | ConvertTo-Json

クリーンアップコマンド：

# API経由で合成ログが注入された場合、特定の相関IDを削除
# このシミュレーションでは、Azureテナントに持続的な変更は行われませんでした。
Write-Host "クリーンアップ完了。持続的な敵のアーティファクトは残っていません。"

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加