悪意のあるパッケージ

慢雾の監視によると、MistEyeは大規模なnpmサプライチェーン攻撃を検出し、Keyv/Cacheableエコシステムに影響を与えました。攻撃者は2,000以上の悪意のあるパッケージバージョンを公開し、keyv@6.0を含んでいます。Keyvは広く使用されているキー・バリュー・ストレージの抽象ライブラリで、Redis、SQLite、PostgreSQL、MongoDBなどのバックエンドをサポートし、毎週約1.27億回ダウンロードされており、明らかな下流サプライチェーンの露出を引き起こしています。攻撃手法は以前のShai-Hulud npmワーム活動と非常に似ており、高度に自動化され、スケーラブルなサプライチェーン攻撃を指しています。潜在的な攻撃行為には、資格情報の窃取、環境変数の漏洩、CI/CDキーの漏洩、リモートペイロードの配信、侵害された開発環境を通じた横の拡散が含まれます。セキュリティチームは、影響を受けたパッケージバージョンを直ちに特定して削除し、検証された安全なバージョンにアップグレードし、依存関係のロックファイルとビルドログをレビューし、疑わしい外部接続を監視し、漏洩した資格情報をローテーションし、影響を受けたことを確認した後に環境を再構築する必要があります。

慢雾の発表によると、安全機関MistEyeは、npm、PyPI、crates.ioに悪意のあるパッケージを公開することで、暗号通貨、DeFi、Solana、Sui/MoveおよびAI分野の開発者を標的としたクロスレジストリサプライチェーン攻撃事件を検出しました。この攻撃活動には、34以上の悪意のあるパッケージと384以上の関連バージョンが含まれています。攻撃者は暗号通貨ウォレット、SSHキー、クラウド認証情報、GitHub/AWSトークン、ブラウザデータ、環境変数および開発者の機密情報を盗む可能性があります。一部の悪意のあるペイロードは、.cursorrules、CLAUDE.md、Gitフック、シェルフック、cron、systemdおよびSSHを通じて持続的な駐留を試みています。開発者には、影響を受けたパッケージを直ちに削除し、影響を受けたシステムを隔離し、ログを保持し、露出した認証情報をローテーションし、クリーンなイメージからCI実行環境と開発者マシンを再構築し、GitHub、クラウドサービス、SSHおよびウォレットの活動記録を確認することをお勧めします。

SlowMist CISO 23pds が発表しました。パスワード管理ツール Bitwarden CLI バージョン 2026.4.0 が、米東部時間の 17:57 から 19:30 の間に Checkmarx のサプライチェーン攻撃を受け、攻撃者は Bitwarden CI/CD パイプライン内の GitHub Action を悪用して、悪意のあるパッケージを一時的に npm 経由で配布しました。公式に確認されたところによると、Vault データは漏洩しておらず、製品システムには影響がありませんでした。影響を受けたのは、その時間帯に npm からこのバージョンをインストールしたユーザーのみです。公式は、影響を受けたユーザーに対し、2026.4.0 を直ちにアンインストールし、npm キャッシュをクリアし、API トークンや SSH キーなどの機密資格情報をローテーションし、GitHub と CI の異常な活動を調査し、修正バージョン 2026.4.1 にアップグレードすることを推奨しています。