ソフトウェアサプライチェーンは新たな脅威に直面しています。研究者らは、開発者向けコード配布プラットフォームであるnpmレジストリで悪意のあるパッケージを検出しました。これらの感染したコンポーネントは、Ethereumブロックチェーン内に制御サーバーのアドレスを隠しており、この戦術により検出が困難になっています。これらのパッケージをインストールすると、影響を受けたソフトウェアはそれらのサーバーに接続して命令を受け取ったり、認証情報を盗んだり、機密データを外部に持ち出したりします。エンドユーザーにとって、リスクは具体的です。一見正規のアプリケーションが、異常な活動の目に見える兆候を示すことなく、個人情報や財務情報を危険にさらす可能性があります。
ブロックチェーン上での攻撃の仕組み 🛡️
使用される手法は斬新かつ複雑です。攻撃者は、コマンド＆コントロールサーバーのアドレスをEthereumのトランザクションに直接書き込みます。被害者のコンピューターで実行されると、悪意のあるコードはブロックチェーンを参照してそのアドレスを取得します。Ethereumネットワークは公開されており分散型であるため、制御サーバーは簡単にブロックできない固定ドメインに依存しません。これにより、攻撃者は新しいトランザクションを公開するだけでサーバーを変更できます。さらに、ブロックチェーンへのトラフィックは正規の暗号通貨操作と混ざり合うため、従来のセキュリティシステムが悪意のある通信を特定する作業が複雑になります。
信じてくれ、俺はオープンソースパッケージだ 😅
npmで見かけるものをすべて、細かい文字を読まずに信頼してしまう開発者たち、つまり彼らが弱点であるというのは、ほとんど詩的ですらあります。それは、お気に入りのチームのTシャツを着ているからといって、見知らぬ人を家に招き入れるようなものです。パッケージは日付をフォーマットするためのユーティリティだと自称していますが、実際にはあなたの銀行取引履歴もフォーマットしてしまいます。そしてその間、企業のセキュリティサーバーは、誰も読まない公開台帳に指示を隠す方法を見つけた攻撃者の創造性を称賛しています。ブロックチェーンが不変であることがせめてもの救いです。この恥ずかしい事態を消去するのは、そう簡単ではないからです。