北朝鮮のハッカー、GoおよびPHPパッケージを侵害
北朝鮮の脅威アクター「PolinRider」が、GoとPHPのオープンソースパッケージを侵害したことが明らかになった。同グループは正規のパッケージに悪意のあるコードを挿入し、サプライチェーン攻撃を通じて開発者環境への侵入を試みている。この攻撃は、ソフトウェア依存関係を標的とした高度な手法であり、開発者コミュニティに警告を発している。
背景メモ
- Lazarus（北朝鮮の政府系ハッキング集団）に所属するとされる「PolinRider」グループが、オープンソースのエコシステムを利用したサプライチェーン攻撃を展開。具体的には、人気のGo言語用パッケージ「yt-dlp」やPHPパッケージ「phpunit」の正規メンテナが管理するGitHubアカウントを乗っ取り、悪意あるコードを含むバージョンを発行した。
- サプライチェーン攻撃とは、ソフトウェアの依存関係（ライブラリやパッケージ）にマルウェアを仕込み、それをダウンロードした開発者経由で広範囲に感染させる手法。今回のケースでは、CI/CDパイプラインやビルドツールから検出が難しい難読化コードが使われた。
- Lazarusは過去に仮想通貨取引所や金融機関へのサイバー攻撃で知られるが、近年はオープンソースパッケージへの悪意あるコミット（依存関係混乱攻撃など）も活発化。今回の手口は、脆弱なアカウント認証情報（パスワードや個人用アクセストークン）の流出を突いたものとみられる。
- 影響を受けたパッケージはすでに削除または修正版が公開されているが、過去にダウンロードしたユーザーは感染リスクがある。この事件は、開発者が依存パッケージの真正性を検証する仕組みの重要性を改めて浮き彫りにした。