マイクロソフト、Mastra AIのnpmサプライチェーン攻撃を北朝鮮のSapphire Sleetに結び付ける
マイクロソフトがnpmの侵害を北朝鮮のグループに結びつける
マイクロソフトは最近のMastra AIパッケージエコシステムを標的にしたサプライチェーン攻撃を、BlueNorOffとしても追跡されている北朝鮮のハッキンググループSapphire Sleetに帰属すると発表しました。同社によると、攻撃者はメンテナのアカウントを乗っ取り、広く使われているJavaScriptレジストリに悪意のある更新をプッシュした結果、140を超えるnpmパッケージが侵害されたといいます。
6月19日の更新で、マイクロソフトはこの活動がSapphire Sleetに関連していると「高い確信」を持っていると述べ、同グループを主に金融セクターを標的とする北朝鮮の国家関係アクターだと説明しました。
攻撃は、Mastraパッケージ環境全体で公開権限を持っていたnpmメンテナアカウント「ehindero」の侵害から始まりました。そこから攻撃者は"easy-day-js"という悪意のある依存関係を@mastraスコープ内の140を超えるパッケージに挿入しました。この名前は正当なdayjsライブラリのタイポスクワット（typosquat）で、信頼されたソフトウェアに紛れ込ませるための一般的な手口です。
悪意のあるインストールチェーンが開発者の端末を直撃
インストールされると、その偽の依存関係はpost-installフックをトリガーして開発者のシステムにマルウェアを落としました。マイクロソフトは、ペイロードの目的が機密資格情報、APIキー、認証トークン、暗号資産ウォレットの窃取であると述べています。
同社によれば、コードはTLS証明書検証を無効化し、攻撃者支配下のコマンド＆コントロール（C2）インフラに接続し、二段階目のペイロードをダウンロードしてデタッチされた隠しプロセスとして実行しました。その二段階目のペイロードは、Windows、Linux、macOSで動作するように設計されたクロスプラットフォームの情報窃取型マルウェアでした。
マイクロソフトは、インプラントがホストの詳細、ブラウザ履歴、インストール済みアプリケーション、および実行中のプロセスを収集したと報告しました。また、MetaMask、Phantom、Coinbase Wallet、Binance Wallet、TronLinkなど、166種類の暗号資産ウォレット用ブラウザ拡張をチェックしていました。
持続化（Persistence）の手法はOSごとに異なり、マルウェアはWindowsのRegistry Runキー、macOSのLaunchAgents、Linuxのsystemdサービスを利用していました。
またマイクロソフトは、攻撃者のサーバーに接触したシステムで、その後Sapphire Sleetの過去の作戦と一致する活動が見られたと述べています。具体例としては、PowerShellバックドア、追加の持続化メカニズム、Microsoft Defenderの除外設定、SYSTEM権限を付与する悪意あるWindowsサービスなどが含まれます。
「PowerShellバックドア、手口（tradecraft）、およびC2インフラは、Sapphire Sleetが以前の別のキャンペーンで使用してきたものと同じです」とマイクロソフトは述べました。
Sapphire Sleetはこれまでにも暗号資産の窃取、悪意のあるブラウザ拡張、偽の求人案内、資格情報や暗号資産を盗むことを目的としたソフトウェアサプライチェーン攻撃などに関連付けられています。
出典：
その他のテックニュースはDoppler VPN Blogでご覧ください。