北朝鮮系ハッカー、FallingRiderキャンペーンで開発者を標的に　悪性OSSパッケージ162件を配布

npmやPackagistなどを悪用、ソフトウェアサプライチェーン攻撃を展開

北朝鮮と関連するハッキンググループが、開発者を標的とした大規模なオープンソースソフトウェア（OSS）攻撃を展開していたことが明らかになった。ソフトウェアサプライチェーンセキュリティ企業Socketは、この一連の活動を**「FallingRider」**キャンペーンと命名している。

調査では、108種類の悪意あるOSSパッケージおよびブラウザ拡張機能が確認され、npm、Packagist、Goモジュール、Google Chrome拡張機能を通じて、合計162件の悪意あるバージョンが配布されていたことが判明した。攻撃者は開発者の開発環境を侵害し、ソフトウェアサプライチェーンを標的とする攻撃を展開していたとみられる。

偽の採用活動とGitHub改ざんで開発者を誘導

攻撃者は、過去に確認された**「Contagious Interview」**キャンペーンと同様に、採用担当者やプロジェクト協力者を装って開発者に接触していた。LinkedIn、GitHub、フリーランス向けプラットフォームなどを利用し、コーディングテストや採用課題を装ったファイルやプロジェクトを実行させることで、マルウェアへの感染を狙っていた。

また、信頼性の高いGitHubリポジトリやパッケージマネージャーのアカウントを悪用するとともに、Gitのコミット履歴を改ざんする手法も確認された。攻撃者は強制プッシュや履歴の書き換えを利用して悪意あるコードの追加時期を隠蔽し、コミットメッセージを機能改善やバグ修正に見せかけることで、不正な変更を正規の更新に紛れ込ませていた。

VS Codeの自動実行機能を悪用、ブロックチェーン経由で追加マルウェアを配布

攻撃者は、Visual Studio Code（VS Code）の自動実行機能を悪用し、.vscode/tasks.jsonに**runOn: "folderOpen"**を設定することで、プロジェクトフォルダーを開くだけでマルウェアが実行されるよう細工していた。これにより、開発者がコードを実行しなくても感染するリスクが生じる。

実行されたマルウェアは、TRON、Aptos、BNB Smart Chainなどのブロックチェーンネットワークを利用して追加のペイロードを取得する仕組みを備えている。確認されたマルウェアにはDEV#POPPER RATとOmniStealerが含まれ、認証情報やGitHubトークン、クラウドアカウント、暗号資産ウォレット情報などを窃取する機能を有している。

開発環境の監視強化と認証情報の保護が重要

感染が疑われる場合は、対象端末を速やかにネットワークから隔離し、安全な端末からすべてのアカウントのパスワードやアクセストークンを変更することが推奨される。また、企業は外部から取得したプロジェクトやファイルを安易に実行しない運用を徹底するとともに、.vscode/tasks.jsonや出所不明の**.woff2**ファイルに不審な変更がないか継続的に確認することが重要だ。

今回のFallingRiderキャンペーンは、開発ツールの自動実行機能を悪用して開発者を狙う高度なサプライチェーン攻撃であることを示している。組織は開発環境の監視を強化し、不審なOSSパッケージやプロジェクトを導入する前に十分な検証を行うなど、サプライチェーン全体を考慮したセキュリティ対策を講じる必要がある。