北朝鮮がオープンソースソフトウェアを狙う広範なハッキングを実行しているとアマゾンが明らかにした
Amazon uncovers broad North Korean hacking campaign against open-source software
平壌が支援するグループが2025年にさかのぼる侵害4件に関与していると判明し、大規模な作戦が明らかになった
Defense One
デイビッド・ディモルフェッタ
2026年7月29日
https://www.defenseone.com/threats/2026/07/amazon-uncovers-broad-north-korean-hacking-campaign-against-open-source-software/415110/?oref=d1-homepage-river
アマゾンの研究者らは水曜日、北朝鮮と関連するハッカーグループが、2025年3月にさかのぼる4件のオープンソースソフトウェアへの侵害に関与していたと発表した。これにより潜在的な被害者多数にリーチし、企業のシステムへのアクセス権を獲得しようとする平壌の活動が広範囲に及んでいることが明らかになった。。
今回の分析により、金銭目的の同一ハッカーグループが、開発者が他のソフトウェアの構成要素として使用する4つの主要なJavaScriptパッケージ（typo-crypto、debug、chalk、axios）への侵害に関与していることが初めて明らかになった。axiosパッケージだけでも毎週1億回以上ダウンロードされており、その侵害は以前より北朝鮮グループによるものとされていた。
アマゾンは水曜日、コードの再利用事例や攻撃手法の類似性といった技術的調査結果に基づき、この攻撃主体を前述の3件のインシデントと結びつける証拠を発見したと発表した。
水曜日の夕方に公開予定の、Amazon Integrated SecurityのCISOであるCJ Mosesによるブログ記事によると、Amazon Threat Intelligenceは、これらの攻撃キャンペーンを「中程度の確信度」で同グループによるものと断定した。このサイバー攻撃者グループは、Sapphire Sleet、Stardust Chollima、BlueNoroff、CageyChameleon、Alluring Piscesなど、複数名称で追跡されている。
Amazonによると、各インシデントにおいて、ハッカーは信頼されているソフトウェアメンテナーを騙し、そのアクセス権を利用して悪意あるコードを含むアップデートを公開している。これらのパッケージの最新版を自動的にダウンロードするように設定された組織は、侵害されたアップデートをシステムに直接取り込んでしまった可能性がある。この手法により、ハッカーは広く使用されている少数のパッケージを侵害するだけで、下流システム数千へのアクセス権を獲得できる可能性があり、組織を個別に標的にするより効率的だ。
オープンソースソフトウェアでは自由に検証、修正、再利用が可能で、オペレーティングシステム、Webサーバー、暗号化ツール、さらに世界中の企業が日々依存している多くのアプリケーションの基盤となっている。こうしたプロジェクトは、提案された変更のレビュー、セキュリティ上の欠陥の修正、アップデートの公開を、ボランティアのメンテナーに依存していることが多い。
このモデルは、信頼に大きく依存している。攻撃者は、数週間から数ヶ月にわたり、正当な貢献者を装ってバグを修正し、関係を築いた上で、確立されたプロジェクトの制御権を掌握したり、悪意ある更新を公開しようと試みる。
この手口は2024年、広く注目を集めた。当時、「Jia Tan」という名前で活動していたアカウントが、数年にわたり他の開発者の信頼を勝ち取った後、数多くのLinuxディストリビューションに含まれる広く使用されているデータ圧縮ツール「XZ Utils」にバックドアを仕込もうとした。このバックドアは、広く展開される前に発見された。
「率直に言って、オープンソースコミュニティは『良き市民』を求めている。なぜなら、これらのパッケージは、フルタイムの仕事として報酬を得てメンテナンスを行っている人々によって管理されているわけではないことが多いからだ」と、Amazonの脆弱性管理サービス「Inspector」のシニアマネージャー、リック・アンソニー氏は水曜日、バージニア州アーリントンで記者団に語った。「彼らは、貢献する意思のある人なら誰に対しても非常に歓迎的だ。」
北朝鮮はかねてより、サイバー作戦を情報収集の手段と同時に、収入源としても扱ってきた。同国のハッカー部隊は仮想通貨を盗み、スパイ活動を行い、被害者から金をゆすり取っている。一方、IT作業員を装った工作員たちは、外国企業に就職し、給与を政権に送金している。アマゾンもそうした企業のひとつであると、幹部らは水曜日に述べた。米国当局者によると、これら収益は、平壌が制裁を回避し、核兵器や弾道ミサイル計画に資金を供給するのに役立っているという。
「制裁に縛られた体制にとって、こうした作戦を通じて収益を上げるということは、効率が高ければ高いほどより多くの資金が得られ、その資金を、そもそも制裁の原因となった活動に充てることができることを意味する」とモーゼスは記者団に語った。「サプライチェーンへの侵害が1件成功するだけで、数百件、あるいはそれ以上の標的型侵入へのアクセスが可能になる」
この調査結果は、オープンソースを悪用した攻撃の検知がますます困難になっている実態も浮き彫りにしている。
アマゾンによると、攻撃者は悪意のある操作を、個別に確認しただけでは無害に見える複数のパッケージに分割する傾向が強まっているという。あるパッケージには暗号化されたデータが、別のパッケージにはそれを解読するコードが、さらに別のパッケージには最終的なペイロードをダウンロードして実行する指示が含まれている場合がある。これらの構成要素が組み合わさって初めて、悪意のある動作が明らかになる。
また、ブログ記事では、AIの台頭によりマルウェアの発見が前より困難になっていると警告している。ハッカーはAIを利用して、洗練されたコード、説得力のあるドキュメント、偽の開発者プロフィールを作成することができ、かつては危険信号として認識されていた明らかなミスの多くを排除できるようになった。
攻撃者は、AIコーディングアシスタントによる誤りも悪用できる。AIツールが存在しないソフトウェアパッケージを推奨した場合、ハッカーはその名前を登録し、マルウェアを仕込むことができる。これにより、開発者や自動化システムが、推奨が誤りであることに気付かずにそれをダウンロードすることを狙う。
オープンソースソフトウェアのセキュリティに関する懸念は、ワシントンでますます注目を集めている。12月、上院情報委員会の委員長は、ホワイトハウスの国家サイバー担当ディレクターに対し、米軍および民間機関全体で使用されているシステムを支えるオープンソースプロジェクトの脆弱性に対処する措置を講じるよう要請した。
昨年8月、Nextgov/FCWは初めて報じたところによると、ロシアのテクノロジー企業Yandexの従業員が、国防総省が利用可能な少なくとも30の既製ソフトウェアパッケージに組み込まれている、広く使用されているオープンソースツールの唯一のメンテナーであったという。■
0 件のコメント:
コメントを投稿
コメントをどうぞ。