GTIG: 2026 OSS サプライチェーン侵害、認証情報窃取、および自己伝播

1. 基本情報

  • 記事タイトル: Batten Down Your Packages: Mitigation Guidance for Supply Chain Compromise
  • 発行元: Google Threat Intelligence Group / Mandiant
  • 発行日: 2026-07-30
  • 元のURL: https://cloud.google.com/blog/topics/threat-intelligence/mitigation-guidance-for-supply-chain-compromise/
  • 関連ソース: TeamPCP、axios、および記事内の WAVESHAPER.V2 調査
  • 関連エンティティ: UNC6780/TeamPCP、SANDCLOCK、MIDNIGHT NEPTUNE/UNC1069、WAVESHAPER.V2、npm、PyPI、Docker Hub、GitHub Actions、axios
  • 重要度: 高

2. エグゼクティブサマリー

攻撃者は開発者、メンテナー、CI/CD パイプラインから認証情報を窃取し、正規パッケージを改ざんしています。この攻撃モデルは大規模に拡大しており、ユーザー環境からクラウドシークレットを窃取し、他のパッケージへ自己伝播し、ランサムウェアや恐喝につながります。

3. 攻撃フロー

UNC6780 / TeamPCP

  1. 攻撃者は GitHub Actions の pull_request_target を悪用したり、メンテナーアカウントを侵害したり、悪意あるパッケージを公開したりして書き込み権限を取得します。
  2. PyPI、npm、Docker Hub 上の正規パッケージやスプーフィングされたパッケージに悪意あるコードを注入します。
  3. ユーザーは開発デバイスまたは CI/CD パイプラインへのインストール時にコードを実行します。
  4. SANDCLOCK などのツールがクラウド、CI/CD、パッケージレジストリの認証情報を窃取します。
  5. 攻撃者は被害者が所有する他のパッケージを改ざんしてワームのように拡散します。
  6. AI ソフトウェアからより広範なエンタープライズネットワークへピボットします。
  7. 窃取した認証情報を売却したり、ランサムウェアやデータ恐喝グループと提携したりして収益化します。

axios / MIDNIGHT NEPTUNE

  1. 攻撃者はソーシャルエンジニアリングを使用してメンテナーアカウントを侵害します。
  2. 正規の axios パッケージに悪意ある依存関係を追加し、新しいバージョンを公開します。
  3. 依存関係の解決により、パッケージは多くのユーザーおよびダウンストリームパッケージへ広がります。
  4. ドロッパーが WAVESHAPER.V2 バックドアを展開します。

4. 攻撃者の位置と実行場所

攻撃者はソースホスティングサービス、CI/CD パイプライン、パッケージレジストリのコントロールプレーンを侵害します。悪意あるコードは開発者デバイス、ビルドランナー、コンテナ、アプリケーション実行環境で実行され、その後窃取した認証情報を使用してクラウドや他のリポジトリへ移動します。

5. 被害者および管理者向けの可視性

  • パッケージは正規に見え、本物の名前を使用し、有効な署名者を持ち、通常の依存関係更新のように見えます。
  • CI ログにはインストールスクリプト、追加された依存関係、アウトバウンドネットワークトラフィック、シークレットアクセスが表示されます。
  • 個々のデバイスに警告が表示されなくても、同じロックファイル、キャッシュ、コンテナイメージを使用する多くの環境が同時に影響を受けます。

6. 成功条件と失敗条件

成功条件

  • メンテナーおよび CI トークンがフィッシングに対して脆弱で、有効期間が長い。
  • pull_request_target や類似のイベントが信頼できないコードにシークレットと書き込み権限を与える。
  • インストールスクリプト、アウトバウンドネットワークトラフィック、依存関係更新に制限がない。
  • 悪意あるバージョンがキャッシュ、ロックファイル、コンテナイメージに残存する。

失敗条件

  • フィッシング耐性のある MFA、短期間の OIDC、最小権限のトークン発行。
  • 信頼境界を越える CI イベントにシークレットを渡さない。
  • 固定された依存関係、署名および出所検証、制限されたインストールスクリプト、エグレス制御。
  • 侵害されたバージョンをレジストリだけでなくすべてのキャッシュおよびビルド成果物から削除する。

7. 成功時に起こること

開発者、CI/CD、クラウドの認証情報、ソースコード、顧客データが窃取され、悪意あるパッケージがダウンストリームへ自己伝播します。GTIG は、axios インシデントが 13 カ国・15 業界の顧客に影響を与えたと報告しており、週間ダウンロード数が 1 億を超える依存関係が大きな影響を持つことを示しています。

8. 観測可能なログ

  • Email: メンテナーを標的としたフィッシング、またはレジストリや GitHub からのふりをしたメッセージ。
  • Proxy/SWG/DNS: インストールやビルド中の不明なアウトバウンドトラフィック、認証情報の送信、悪意あるパッケージのダウンロード。
  • Endpoint/EDR: パッケージマネージャの子プロセス、インストールスクリプト、シークレットファイルの読み取り、WAVESHAPER.V2 / SANDCLOCK の活動。
  • Identity/IdP: メンテナーアカウント、Personal Access Token (PAT)、npm/PyPI トークン、クラウドキーの異常使用。
  • SaaS/Cloud: GitHub Actions、pull_request_target、リリース、パッケージ公開、OIDC、監査ログ。
  • Network: CI ランナーや開発者デバイスからの異常なエグレスに続き、クラウド API アクセスおよび内部偵察。

9. 攻撃成功評価

  • Contact Only: フィッシング、悪意ある PR、または悪意あるバージョンの参照。
  • User Action: メンテナー認証、PR 承認、依存関係更新。
  • Initial Execution: インストールまたはビルド中の悪意あるコード実行。
  • Malware or Successful Auth: SANDCLOCK/WAVESHAPER.V2 の活動、窃取したトークンの使用。
  • Data Theft / Session Compromise: シークレット、ソースコード、クラウドデータの送信。
  • Subsequent Compromise Confirmation: 他のパッケージの公開、クラウドおよびネットワークへのピボット、恐喝、またはランサムウェア。

10. 調査プレイブック

  • Trigger: 既知の侵害バージョン、予期しない公開イベント、CI からの不明なエグレス、異常なトークン使用。
  • Initial Check: SBOM、ロックファイル、キャッシュ、イメージ、インストール時刻、実行環境を特定。
  • Devices: パッケージマネージャ、インストールスクリプト、子プロセス、シークレットアクセス、ビルド成果物を調査。
  • Auth & Cloud: すべての GitHub、レジストリ、CI、クラウドトークンの使用および発行を追跡。
  • Subsequent Actions: 被害者が公開権限を持つすべてのパッケージ、ダウンストリーム依存関係、クラウド API、データ送信をチェック。
  • Containment: ビルドの停止、トークンの失効、悪意ある依存関係・キャッシュ・成果物の削除、既知の良性ソースからの再構築、ダウンストリームユーザーへの通知。
  • Assessment Levels: 参照済み / ダウンロード済み / 実行済み / 認証情報窃取済み / パッケージ再公開 / クラウドピボット / 漏洩またはランサムウェア。

11. 防御および検知のアイデア

  • Single Event: 新しいデバイスからの公開、シークレットを含む CI pull_request_target、インストール中のシェル実行、予期しない依存関係追加。
  • Timeline Correlation: 異常なメンテナーログイン → リリース/公開 → CI インストール → シークレット読み取り → 別のパッケージの公開。
  • Hunting: SBOM から侵害バージョンの逆引きおよび推移的依存関係を検索し、同じトークンおよびインフラストラクチャの使用を環境全体で検索。
  • Log Gaps: パッケージレジストリログ、CI ジョブログ、出所データ、開発者デバイスのエグレスログがなければ影響範囲を完全に把握できません。
  • Priority Countermeasures: フィッシング耐性のある MFA、短期間の OIDC、固定依存関係、署名/出所検証、分離された CI 環境、シークレットスキャン、エグレス制御。

12. 事実 / 推論 / 仮説

事実

  • GTIG は、OSS サプライチェーン攻撃の規模、繰り返し、およびワーム様の性質が 2025 年から 2026 年初頭にかけて増加したと高い確信度で評価しています。
  • TeamPCP は PyPI、npm、Docker Hub を標的とし、SANDCLOCK などのツールでシークレットを窃取し、AI ソフトウェアからより広範なエンタープライズネットワークへピボットを試みました。
  • axios インシデントでは、悪意あるバージョンは 3 時間以内に削除されましたが、影響は 13 カ国・15 業界の顧客に及びました。

推論

  • レジストリからパッケージを削除するだけでは、既存のキャッシュ、ロックファイル、コンテナイメージ、窃取された認証情報を保護できません。
  • 世界中の組織がグローバル OSS 依存関係を通じて同時に影響を受けています。

仮説

  • 公開認証イベントとダウンストリーム CI シークレットアクセスの相関分析により、自己伝播が発生する前に攻撃を封じ込めることができます。

13. MITRE ATT&CK マッピング

  • 高確信度: T1195.001 Compromise Software Dependencies and Development Tools、T1552 Unsecured Credentials、T1078 Valid Accounts、T1105 Ingress Tool Transfer。
  • 中確信度: T1528 Steal Application Access Token、T1098 Account Manipulation、T1041 Exfiltration Over C2、T1486 Data Encrypted for Impact（アフィリエイトが実行した場合）。

14. 不明点および追加調査

  • 各キャンペーンの完全な IOC および侵害パッケージ一覧。
  • AI が攻撃計画および悪意あるコード生成にどのように使用されたかの具体的な範囲。
  • 国内組織やローカルミラーにおける残存状況。
  • 窃取した認証情報の販売とランサムウェア運用を結びつける個別事例。

15. SOC および一般企業への影響

ローカル開発環境においても、npm、PyPI、Docker Hub、GitHub Actions への依存度は高いです。SOC は本番サーバーだけでなく、開発者 ID、CI ランナー、パッケージ公開、SBOM、ビルドエグレスも監視する必要があります。組織は開発、クラウド、CSIRT チーム間でセキュリティ対応を調整する必要があります。

16. 対象者別サマリー

  • SOC 向け: ID、公開イベント、パッケージインストール、シークレット読み取り、ダウンストリーム公開を単一のサプライチェーンとして追跡。
  • 管理者向け: CI シークレットを短期間にし、依存関係、署名、出所、キャッシュを適切に管理。
  • ユーザー向け: 開発者は依存関係更新やメンテナー向け認証リクエストを盲目的に承認しない。