週間2,200万ダウンロードの人気NPMパッケージにマルウェアのバックドアが混入——サプライチェーン攻撃で発覚

オープンソースソフトウェアのリポジトリを狙ったサプライチェーン攻撃がまたも発生しました。今回の標的となったのは、JavaScript開発者に広く利用されている2つの人気NPMパッケージです。攻撃者はそれぞれの開発者アカウントへの不正アクセスに成功し、パッケージに悪意のあるコードを仕込みました。この2つのパッケージは合計で週間約2,200万回ダウンロードされており、影響の大きさが懸念されています。

感染が確認されたのは、コマンドラインオプション解析ライブラリ「coa」と、設定ファイル読み込みライブラリ「rc」の2つです。匿名の攻撃者によって、両方のパッケージに「類似した」パスワード窃取型マルウェアが埋め込まれたことがわかっています。

NPMパッケージとは？

npm（Node Package Manager）は、JavaScriptのランタイム環境であるNode.js向けの標準パッケージマネージャーです。コマンドラインクライアント（npmコマンド）と、公開パッケージおよび有料のプライベートパッケージを収録するオンラインデータベース「npmレジストリ」で構成されています。開発者はnpmコマンドや公式サイトを通じてパッケージの検索・インストールを行え、レジストリの運営はnpm, Inc.（現GitHub傘下）が担当しています。世界中の開発プロジェクトがこのエコシステムに依存しているため、レジストリ上のパッケージが改ざんされると、それを利用する多数のプロジェクトへ被害が波及しかねません。

coaとは？

coa（Command-Option-Argument）は、プログラムのAPIを形式的に定義することで、そのメリットを最大限に引き出すためのコマンドラインオプションパーサーライブラリです。コマンド・オプション・引数という形式で定義を作成すると、次のような成果物が自動的に生成されます。

• COAベースのアプリをモジュールとして利用するためのプログラムAPI
• コマンドラインのヘルプテキスト
• シェルの補完機能

影響を受けたバージョンと対策

2022年11月4日に公開されたGitHubセキュリティアドバイザリーによると、coaのバージョン2.0.3以降（2.0.3、2.0.4、2.1.1、2.1.3、3.0.1、3.1.3）がすべて影響を受けます。該当バージョンを使用している場合は、速やかに2.0.2へダウングレードし、システムに不審な動作がないか確認することが推奨されます。

rcとは？

rcは、「手間をかけずに設定を読み込みたい」というニーズに応える、シンプルな設定ローダーライブラリです。選択したデフォルト値と設定内容を自動的に統合し、あらかじめ用意されたdefaultsオブジェクトを渡せば、それを拡張して利用できます。

影響を受けたバージョンと対応方法

同様に、rcのバージョン1.2.9、1.3.9、2.3.9にもマルウェアが含まれていることが確認されており、別途公開されたアドバイザリーでは1.2.8へのダウングレードが推奨されています。これらのバージョンがインストールまたは実行されたマシンは、すでに侵害されているものと見なすべきです。そのマシン上のすべてのシークレットや鍵は、別の安全なコンピュータから速やかにローテーション（再発行）してください。パッケージ自体はアンインストールすべきですが、コンピュータの完全な制御が外部の第三者に渡っている可能性があるため、アンインストールだけではマルウェアが完全に除去される保証がない点に注意が必要です。

マルウェアの正体は「DanaBot」の亜種

マルウェアサンプルの追加調査により、本件のマルウェアは、Windows向けの認証情報・パスワード窃取ウイルス「DanaBot」の亜種であることが判明しました。これは、直前に発生したUAParser.jsの侵害事件や、偽のRoblox NPMパッケージが公開されたタイポスクワッティング事件と同様の手口です。

npmは公式X（旧Twitter）で、「同様の攻撃からアカウントとパッケージを守るため、NPMアカウントで二要素認証（2FA）を有効にすることを強く推奨します」と警告しています。

マルウェアからのリアルタイム保護ならSystweak Antivirus

Systweak Antivirusは、さまざまな悪意ある攻撃からコンピュータをリアルタイムで保護するセキュリティソフトです。迷惑な広告をフィルタリングし、マルウェアなどの有害ソフトのダウンロードやアクセスをブロックするブラウザ拡張「StopAllAds」も付属しています。主な特徴は以下の通りです。

• リアルタイム保護：コンピュータ上での挙動に基づき潜在的な脅威を検出できる、数少ないアンチウイルス製品の一つです。
• シンプルな操作性：直感的なユーザーインターフェースを備え、家族全員が簡単に利用できます。
• 軽量設計：CPUリソースを大量消費しないため、PCのパフォーマンスを損ないません。
• 安全なウェブ閲覧：広告ブロック機能とともにインターネットを安全に利用できます。
• スタートアップ項目の整理：PCの起動を遅くする不要なコンポーネントを無効化できます。

まとめ——NPMパッケージのバックドア問題から学ぶこと

週間2,200万回ダウンロードされる人気パッケージでさえ、開発者アカウントの乗っ取りひとつでマルウェアの配布経路になり得ることが、今回の事件で改めて示されました。開発者は二要素認証（2FA）の有効化、依存パッケージのバージョン固定、不審なアップデートへの注意など、サプライチェーン攻撃への備えを強化することが重要です。ご意見やご質問があれば、ぜひコメント欄でお聞かせください。