npmへの攻撃で何が変わってきていますか？

A. 国家支援型の攻撃で、手口の高度化が確認されています。

著名なnpmパッケージのメンテナが狙われ、悪意のある更新が配信された事例が報告されています。

攻撃者は数か月かけて信頼関係を築いたうえで、アカウントを乗っ取る手法を用いていました。悪意のある機能を複数のパッケージへ分散したり、外部から必要なデータを取得して動作させたりする仕組みも確認されています。

さらに、分析環境では動作を変える設計も取り入れられていました。

生成AIは、コードの難読化や偽のメンテナになりすます場面でも利用されていました。また、AIが存在しないパッケージ名を生成する現象を悪用する「Slopsquatting」という手法も報告されています。

今回の事例は、オープンソースを取り巻く攻撃手法の変化を示す事例のひとつと言えそうです。

axiosやdebugも標的に：国家支援ハッカーによるnpmサプライチェーン攻撃とAI時代の新たなリスク https://constella-sec.jp/blog/hobokomo-securitynews/tips-1256/