JavaScript依存関係から始まった大規模サプライチェーン攻撃、暗号通貨マイニングワームにより偶然解決

インシデントは、JavaScriptパッケージleft-justify（週間8億4700万ダウンロード）のメンテナーMarcus Chenのアパートから機器が盗まれたことから始まった。Chenは紛失したハードウェア2FA鍵の代替品を購入しようとしたが、AI検索結果に表示されたフィッシングサイトにnpmの認証情報を入力した。攻撃者はleft-justifyパッケージにpostinstallスクリプトを追加し、.npmrc、.pypirc、~/.cargo/credentials、~/.gem/credentialsなどの認証情報を窃取した。盗まれた認証情報の中にRustライブラリvulpine-lz4のメンテナーのものが含まれ、同ライブラリにbuild.rsスクリプトが追加された。このスクリプトは「build」「ci」「action」などがホスト名に含まれる場合にシェルスクリプトをダウンロード・実行する仕様だった。攻撃は最終的にPythonビルドツールsnekpackに到達し、PyPIパッケージの60%で使用されているため約400万人の開発者マシンにマルウェアがインストールされた。しかし73時間後、無関係な暗号通貨マイニングワームが偶然この脆弱性にパッチを適用し、インシデントは解決された。