SlowMist：npm サプライチェーンが大規模攻撃を受け、Keyv エコシステムで 2000 超の悪意あるパッケージバージョンが公開される

TechFlow ニュース、8 月 5 日、ブロックチェーンセキュリティ企業 SlowMist（@SlowMist_Team）の監視によると、傘下の脅威インテリジェンスシステム MistEye が、Keyv/Cacheable エコシステムを対象とした大規模な npm サプライチェーン攻撃を検知しました。攻撃者は合計 2,000 以上の悪意のあるパッケージバージョンを公開し、[email protected] などの核心コンポーネントに関与していました。Keyv は広く使用されているキー値ストア抽象化ライブラリであり、Redis、SQLite、PostgreSQL、MongoDB などのさまざまなバックエンドをサポートし、週間ダウンロード数は約 1 億 2700 万回に達し、下流サプライチェーンの暴露リスクは極めて大きいです。

今回の攻撃手法は、以前の Shai-Hulud npm ワーム活動と非常に類似しており、高度な自動化と規模化の特徴を備えています。潜在的なリスクには、認証情報の窃取、環境変数の漏洩、CI/CD 鍵の漏洩、リモートペイロードの配信、横移動などが含まれます。

SlowMist は、セキュリティチームに対し、影響を受けたパッケージバージョンを直ちに調査して削除し、検証済みの安全なバージョンにアップグレードし、依存関係ロックファイルとビルドログを審査し、疑わしい送信接続を監視し、漏洩した認証情報をローテーションし、侵害が疑われる場合には信頼できるソースから関連環境を再構築することを推奨しています。