Amazon、北朝鮮のハッキンググループによる組織的なオープンソース・サプライチェーン攻撃を特定

Amazon Threat Intelligenceは、北朝鮮の国家支援を受けたハッキンググループによる、世界のオープンソースソフトウェア・サプライチェーンを標的とした組織的なキャンペーンを特定しました。typo-crypto、debug、chalk、axiosの4つの主要なJavaScriptパッケージの侵害を関連付けることで、研究者は2025年初頭から活動している産業規模の作戦であることを見出しました。攻撃者はソーシャルエンジニアリングを用いてパッケージメンテナーの信頼を得て、毎週数億回ダウンロードされるライブラリに悪意のあるコードを注入しました。このキャンペーンは、ダウンストリームの企業システムへの広範なアクセス権を取得し、国際的な制裁を回避して軍事プログラムに資金を提供することで、北朝鮮政権に収益を上げることを目的としています。

// 背景

オープンソースソフトウェアは、ボランティアのメンテナーがすべての寄稿を精査するリソースを不足していることが多い信頼ベースのモデルに依存しています。北朝鮮は、世界的な制裁下で経済を維持するために、暗号通貨の窃取やIT労働者の潜入など、サイバー作戦を長年利用してきました。2024年のXZ Utilsバックドア事件は、オープンソースプロジェクトにおける長期的なソーシャルエンジニアリングの極めて高いリスクを強調しました。

// 主要動向

• 北朝鮮のハッキンググループ（Sapphire Sleet、BlueNoroff、またはAPT38として追跡）によるキャンペーンであると断定した。
• 広く利用されている4つのNPMパッケージ（typo-crypto、debug、chalk、axios）における侵害者が特定された。
• axios単体で週に1億回以上のダウンロードがあり、debugとchalkを合わせると10億回を超える。
• 攻撃者はソーシャルエンジニアリングを用いて正当なコントリビューターを装い、メンテナー権限を取得して悪意のあるアップデートを公開した。
• AIコーディングアシスタントの誤りを悪用して悪意のあるパッケージを登録・配布する「スロップスクワッティング（slopsquatting）」について警告した。
• Amazonは、AIによる脅威からオープンソースソフトウェアを保護するため、1,250万ドルの投資を伴うAkritesイニシアチブを開始した。