Amazonは、2025年9月のnpmパッケージ debug および chalk のハイジャックを北朝鮮に結び付けました。10カ月にわたり、この事件は公開記録上は暗号資産窃盗として扱われてきました。すなわち、類似のnpmドメイン経由でフィッシングされたメンテナーが、少なくとも18のパッケージにウォレットを空にするスクリプトをプッシュし、それらのパッケージは合わせて週2億回以上のダウンロードを集めていました。

当初のAikidoおよびWizのレポートでは、この事件を北朝鮮に帰属させていませんでした。Amazon Threat Intelligenceが7月29日に公開した調査では、2026年3月のaxios侵害の背後にいたグループが今回の事件にも関与していたと、中程度の確信度で評価しています。

Amazonによると、同じグループは2025年3月に小規模なパッケージ typo-crypto へトロイの木馬を仕込んでおり、これはaxios侵害の1年前のことです。アナリストたちは、axios調査の過程で登場した2025年に登録されたドメインを追跡する中でこのファイルを発見しました。

ダウンロード数は少なかったものの、その手口は「後に人気パッケージへの攻撃で見られたものと一致する」とAmazonは述べ、このパッケージをテストランと位置づけています。Amazonの帰属範囲は、12カ月間にわたる3つのキャンペーンで4つのパッケージに及びます。3つのキャンペーンはいずれも、同じ手順で開始されたとしています。すなわち、信頼されたメンテナーをソーシャルエンジニアリングで騙し、アップデートを公開するというものです。

Amazonは新たな侵害を報告していません。debugとchalkの対応範囲、ブラウザバンドルおよびキャッシュは、公開されたメカニズムと一致しています。変更されたのは帰属先のみです。

Cybersecurity

Amazonが公開した証拠は、その主張よりも薄いものです。同社の投稿では、キャンペーン間の共通する手口、トロイの木馬化されたパッケージ、post-installフック、コードの再利用、重複するコマンド&コントロールの指標が挙げられていますが、どの証拠がどの事件を結び付けているかは明示されていません。

そのギャップは、debugとchalkにとって最も重要です。AikidoおよびWizは、ブラウザ側でfetch、XMLHttpRequestおよびウォレットAPIをフックして、ユーザーが署名する前にトランザクションアドレスを書き換えるインターセプターを文書化しています。このコードはマシン上に永続性を残さず、axiosのペイロードとは異なりnpmのpost-installフックに依存していません。typo-cryptoも同様で、トリガーを待機するのみでした。

GoogleはaxiosをUNC1069に独立して帰属させ、WAVESHAPER.V2バックドアと同グループが以前に使用していたAstrillVPNノードを挙げています。Microsoftは同じ侵害をSapphire Sleetに帰属させ、同グループは他のベンダーがUNC1069、STARDUST CHOLLIMA、BlueNoroff、Alluring Pisces、CageyChameleon、CryptoCoreとして追跡する活動と重複するとしています。

命名のギャップは解消されましたが、Amazonの証拠のギャップは残っています。ここでレビューした情報源の中で、debug、chalkおよびtypo-cryptoの侵害に対する帰属元はAmazonのみです。axiosの帰属は侵害から2日以内に発表されましたが、他の2件は事実から10カ月および16カ月後に帰属されました。

Amazonはこのパターンを金銭目的と解釈しています。SocketはThe Hacker Newsに当時、9月のウォレットによる被害総額は約600ドルだったと述べています。

Amazonが説明する悪意のあるファイル core.js は、リポジトリ内で正当なcore-jsパッケージを装っていました。これはハッシュ入力が0098273で始まるとトリガーされ、ハードコードされたC2からOS固有の第2段階を、01042025を鍵とするXOR暗号でbase64難読化して取得します。ネットワーク指標はnpmjs[.]storeおよび216[.]74[.]123[.]126です。

Amazonの投稿はOSVレコードを引用していますが、バージョンを特定していません。The Hacker Newsが確認したところ、MAL-2026-3400は[email protected]を特定し、Amazon Inspectorをクレジット、5月8日に公開されています。これは帰属発表の約3カ月前です。

The Hacker Newsは2026年7月30日にレジストリを確認しました。[email protected]は依然として公開されており、インストール可能です。インストールスクリプトは宣言されていないため、これをダウンロードするだけでは何も実行されません。npmが提供するtarballはレジストリ自身の整合性ハッシュと一致します。

レジストリには1つのバージョンのみ記載されており、2025年3月31日に作成と公開が204ミリ秒の差で行われています。公開アカウントはパッケージのauthorフィールドに記載された開発者とは一致しません。説明およびキーワードはcrypto-jsからコピーされており、crypto-jsの最新版4.2.0より1リリース先行しています。crypto-jsは、ファイルが偽装していたcore-jsとは異なるプロジェクトです。

このレコードは、Amazonが3つのキャンペーンすべてで特徴づけている「メンテナー侵害→悪意あるアップデート」という流れに適合しません。最初からcrypto-jsを偽装するよう構築されたパッケージに適合します。このレコードはアカウントがどのように取得されたかを示すことはできず、更新対象となる以前のバージョンが存在しなかったことのみを示しています。

Cybersecurity

ファイルは1点で投稿と一致します。core.jsにはAmazonが挙げたトリガー値とXORキーの両方が含まれています。ただしハッシュは一致しません。Amazonはcore.jsのSHA256をパッケージのハッシュとしてリストアップしており、その記載されたcore.jsハッシュはtarball内のどのファイルにも存在しません。指標のラベルミスか、別のコピーからのハッシュが原因と考えられます。Amazonの投稿はそのいずれとも述べていません。

The Hacker NewsはAmazonに対し、2025年9月の侵害を結び付ける証拠の詳細を問い合わせ、Aikidoに対しても再帰属に関する見解を求めています。回答があれば本記事を更新します。

npmは7月8日にv12をリリースし、デフォルトで依存関係のライフサイクルスクリプトを無効化しました。これによりaxiosが利用していたpost-install経路がデフォルトで除去されます。ただし、debug、chalk、axiosの背後にあるメンテナー侵害経路は塞がれていません。リリースをレビューしたSarah GoodingはSocketの記事で、「install-scriptのブロックもOIDCも、そのエントリーポイントを閉じるものではない」と指摘しています。

7月28日、npmは新しく公開されるパッケージをインストール可能になる前にマルウェアスキャンし始めました。このスキャンは新規公開に適用され、レジストリに既にあるパッケージには適用されません。

この記事が役に立ったと思ったら、Google News、Twitter、LinkedInでフォローして、The Hacker Newsが投稿する独占コンテンツをさらにご覧ください。