SlowMist、偽のPolymarket取引ボットに関連する30件のnpm攻撃パッケージを警告

30件の悪意あるnpmパッケージに結び付いた偽のGitHub裁定取引ボットが、ウォレット鍵、ブラウザのパスワード、開発者認証情報を窃取した。研究者によると、少なくとも53人の開発者が影響を受けた。

要約

SlowMistとSafeDepは、年8万ドル超を生み出せるとうたうPolymarketの裁定取引ボットを宣伝する偽のGitHubリポジトリを軸にしたサプライチェーン攻撃を警告した。研究者によると、30件の悪意あるnpmパッケージが複数のアカウントを通じて拡散され、このリポジトリに結び付いていた。発覚前にはこのリポジトリが36件のスターと53件のフォークを集めていた。マルウェアはclob-client-mathという依存関係に隠されており、利用者が.envファイルにPolymarketの秘密鍵を記載するよう指示されたうえでnpm installを実行すると作動した。 このマルウェアは、仮想通貨ウォレットのデータ、ブラウザのパスワードとCookie、SSH鍵、AWS認証情報、npmおよびPyPIトークン、パスワード管理ツールのデータ、秘密鍵、API (Application Programming Interface)トークンを窃取するよう設計されていた。SafeDepは、このプロジェクトでnpm installを実行したマシンはすべて侵害されたものとして扱うべきだとした。研究者は、この作戦の背後に北朝鮮のハッカーがいるとみており、仮想通貨開発者を標的とする「Contagious Trader」と呼ばれるより広範なキャンペーンとの関連を指摘した。 今回の事案は、予測市場における自動売買の高収益性によって、この種のおとりが一段ともっともらしくなっていることも浮き彫りにした。報告書は、実際のPolymarketボットが突出した収益を上げた例を挙げており、一方でPolymarket利用者は今年、少なくとも11件のアカウントから294万ドルが流出した6月下旬のフィッシング詐欺など、別の攻撃にも直面している。

用語解説
  • npmサプライチェーン攻撃: npmエコシステムを通じて悪意あるソフトウェアパッケージを用い、開発者を感染させる侵害手法。
  • Polymarket裁定取引ボット: Polymarket市場における価格差を利用するよう設計された自動売買プログラム。
  • インフォスティーラー: 感染した端末から認証情報、鍵、そのほかの機密データを収集し、外部に送信するよう設計されたマルウェア。