Axios npmパッケージにサプライチェーン攻撃　不正コード混入

Axios npmパッケージ侵害と不正コード配布

Axios npmパッケージが侵害され、悪性コードを含むバージョンが配布された。本件により、Linux、Windows、macOS環境にリモートアクセス型マルウェア（RAT）が導入される挙動が確認されている。

Axiosは週あたり1億回以上ダウンロードされる広く利用されたライブラリであり、影響範囲の拡大が懸念される。

依存関係を悪用したサプライチェーン攻撃

本件はnpmレジストリ上で確認されたサプライチェーン攻撃で、攻撃者は特定のAxiosリリースに悪性依存パッケージを組み込んだ。これにより、開発環境にリモートアクセス型マルウェア（RAT）が導入されるリスクが発生した。

当該マルウェアは任意コマンド実行およびシステム情報の窃取機能を備えている。影響を受けたのはバージョン1.14.1および0.30.4で、いずれもGitHubタグを伴わずnpmへ公開されたことが確認されている。

postinstallフックを悪用した実行手法

本攻撃はnpmのpostinstallフックを利用し、パッケージインストール時に自動実行される仕組みとなっている。フック内では「setup.js」がドロッパーとして起動し、追加ペイロードの取得・実行が行われる。

また、検知回避を目的として二重の難読化が施されており、Base64エンコードされた文字列の復号に加え、ハードコードされたキーによるXOR処理が用いられている。

北朝鮮系グループ関与の可能性

Google Threat Intelligence Group（GTIG）および複数の研究者は、本件を北朝鮮系ハッカーグループUNC1069による攻撃として追跡している。同グループは過去にmacOS向けマルウェアを用いた活動や、暗号資産関連企業を標的とした攻撃で知られている。

今回のAxios攻撃で使用されたバックドアは、既知のマルウェア「WAVESHAPER」との類似性が指摘されている。

攻撃動向と検知回避の手法

本件を受け、同様のサプライチェーン攻撃が他の攻撃者により再利用される可能性が指摘されている。ソフトウェア供給網におけるリスクの継続が示される事例となった。

StepSecurityの分析によれば、悪性コードはインストール後に自身を削除し、正規バージョンへ置き換えることで検知を回避する挙動が確認されている。

サプライチェーンリスクと影響

本件は、ソフトウェア供給網におけるセキュリティリスクを示す事例となった。攻撃者はAxiosのメンテナアカウントを侵害し、不正コードを含むパッケージが約3時間にわたり公開状態となっていた。

この間に、多数の組織が悪性コードの影響を受けた可能性がある。サプライチェーンを標的とした攻撃の継続的な発生が指摘されており、開発環境全体における管理および監視体制の強化が求められる。