偽の求人オファーを受け取りました。NPMパッケージは完全な情報窃取マルウェアでした
本記事では、偽の求人メールをきっかけにしたサプライチェーン攻撃について詳述する。攻撃者はNPMパッケージ「foxtopia」を介し、被害者のシステムから認証情報や機密データを窃取する情報窃取型マルウェアを展開。この事例は、開発者を標的にした巧妙なソーシャルエンジニアリング手法と、依存関係を通じたサプライチェーン攻撃の現実的な脅威を浮き彫りにしている。
背景メモ
- この記事は、著者が「ソフトウェアエンジニア向けのリモート採用面接」を装って送られた悪意あるNPMパッケージを解析した事例報告。
- 攻撃者は偽のコーディング課題（例：「JSONからCSVへ変換する簡易ツール」）を出し、応募者が提出したパッケージに、同梱の「node-rdp」という既存ライブラリを流用した情報窃取コードが仕込まれていた。
- 盗まれたのは、Chrome／Brave／Edgeに保存されたパスワード・クッキー・クレジットカード情報、Discordトークン、MetaMask拡張のデータ、スクリーンショット、RDP関連の認証情報など多岐にわたる。収集先は攻撃者のDiscordチャンネルへWebhook送信される。
- 背景として、ソフトウェア業界では「コーディング試験を伴うリモート採用」が一般的になっているため、この手口は応募者の警戒心を低くさせやすい。攻撃者はGitHub上の実在プロジェクト（「TradingBot」）を流用し、職業斡旋サイト「WellFound」のプロフィールを偽装するなど、信頼性を高めていた。
- この手口は「開発者を狙ったサプライチェーン攻撃」の一種であり、npm（JavaScriptのパッケージレジストリ）のエコシステム全体の脆弱性を突くもの。偽の採用オファー経由でマルウェアを送り込む手法は以前から増加傾向にある。