北朝鮮のハッカーが数週間かけて仕掛けたサプライチェーン攻撃でAxiosを乗っ取った
広く使われているプロジェクトがサイバー攻撃のベクトルに
北朝鮮のサイバー作戦は、3月31日の攻撃で、ウェブで最も広く使われているオープンソースプロジェクトの1つであるAxiosを一時的に乗っ取った。この攻撃は数週間かけて準備されたものとみられる。この侵害は、国家支援のハッカーが信頼されているソフトウェアインフラを標的とすることが増えており、1つの侵害が数千のシステムに波及する可能性があることを浮き彫りにしている。
Axiosは、開発者がアプリケーションをインターネットに接続するために使用する人気のJavaScriptライブラリである。非常に多くのソフトウェアビルドに組み込まれているため、プロジェクトが侵害されると、プロジェクト自体をはるかに超える影響を及ぼす可能性がある。このケースでは、悪意のあるアップデートは公開から約3時間で削除されたが、その期間だけでも数千のシステムに感染するには十分だった可能性がある。
この攻撃は、プロジェクトのメンテナーであるJason Saayman氏による事後分析で文書化されており、侵害のタイムラインが示されている。Saayman氏によると、攻撃者は彼のコンピューターを制御し、悪意のあるコードを公開する約2週間前から彼を標的にし始めたという。
信頼に基づいた長期的な詐欺
この作戦は、ブルートフォース攻撃よりも忍耐力に依存していた。Saayman氏によると、攻撃者は実在する企業を装い、説得力のあるSlackワークスペースを作成し、偽の従業員プロフィールで埋め尽くして、その策略を合法的に見せかけたという。その後、彼をウェブ会議に招待し、その会議に参加するために必要なアップデートと偽装したマルウェアをダウンロードするように促した。
Saayman氏は、この誘引は以前から北朝鮮のハッカーに関連付けられ、Googleのセキュリティ研究者によって特定された手法と一致すると述べた。それは、標的にリモートアクセスを可能にするソフトウェアをインストールさせるソーシャルエンジニアリングの手法である。このケースでは、そのアクセスが悪意のあるAxiosリリースをプッシュする鍵となったようだ。
この事件は、なぜオープンソースのメンテナーがこれほど価値の高い標的となっているのかを示している。人気のあるプロジェクトは、小規模なチーム、あるいは単一の開発者によって維持されていることが多いが、無数のアプリケーションやサービスに組み込まれる可能性がある。そのため、メンテナーの個人デバイスは、ソフトウェアを大規模に侵害しようとする攻撃者にとって魅力的な侵入経路となる。
リスクは一つのプロジェクトをはるかに超える
Doppler VPNでプライバシーを保護
3日間無料体験。登録不要。ログなし。
悪意のあるAxiosパッケージは迅速に削除されたが、拡散する機会がなかったわけではない。短い公開期間中に侵害されたバージョンのいずれかをインストールしたシステムは、そのマシンに保存されている秘密鍵、認証情報、パスワードの盗難に対して脆弱であった可能性がある。盗まれたそれらの秘密は、他のシステムやサービスに深く侵入するために使用され、ソフトウェアサプライチェーンのインシデントをより広範な侵害に変える可能性がある。
その可能性こそが、この種の攻撃をこれほど懸念させる理由である。直接の被害者は開発者のラップトップや単一のパッケージリポジトリかもしれないが、最終的な標的ははるかに広範囲に及ぶ可能性がある。つまり、プロジェクトを自身のソフトウェアスタックの一部として信頼しているユーザーや組織である。
Axiosの事件は、より広範なパターンにも当てはまる。北朝鮮のハッカーはインターネット上で最も活発なサイバー脅威の一つであり続けており、ソーシャルエンジニアリング、認証情報の窃盗、リモートアクセスマルウェアを組み合わせた作戦に繰り返し関連付けられている。彼らのキャンペーンは、スパイ活動と金銭目的の犯罪の境界線を曖昧にすることが多く、暗号通貨の窃盗が頻繁にその一部となっている。
おなじみの手口、より大きな警告
この最新の侵害が際立っているのは、標的だけでなく、その展開の系統的な方法である。攻撃者は単にプロジェクトのコードの技術的な欠陥を悪用したわけではない。彼らは、信頼できるアイデンティティを構築し、メンテナーの信頼を得て、最終的に公式アップデートを公開するために使用されるマシンへのアクセス権を取得するために時間を費やした。
このアプローチは、オープンソースエコシステムにおける困難な現実を浮き彫りにしている。広く使われているソフトウェアのセキュリティは、コードレビューやパッケージ監視だけでなく、コードを維持する人々の個人的な防御にも依存している。国家支援のハッカーや犯罪グループがこれらのメンテナーを標的とし続けるにつれて、サプライチェーン自体がサイバー紛争の最前線となる。
Saayman氏は、この事件に関する追加の質問にすぐには回答しなかった。侵害の全容はまだ評価中だが、教訓はすでに明らかである。信頼されたソフトウェアが乗っ取られると、その影響範囲は侵害されたプロジェクトをはるかに超えて広がる可能性がある。
情報源: