進行中のNPMサプライチェーン攻撃がbinding.gypを利用してワームのように拡散

StepSecurity脅威インテリジェンスチームは、現在進行中のNPMサプライチェーン攻撃を発見しました。攻撃者は悪意のあるbinding.gypファイルとindex.jsファイルを悪用し、ユーザーがnpm installまたはnpm updateを実行した際にペイロードを起動します。この攻撃はワームのように拡散し、機密情報を窃取します。

攻撃の流れ：影響を受けるバージョンのai-sdk-ollamaパッケージをインストールすると、node-gypのソース展開ステップがnode index.jsを実行し、Bunランタイムをダウンロードします。その後、悪意のあるスクリプトが実行環境から認証情報を収集し、自身をGitHub Actionsワークフローファイルに注入してさらに拡散します。

現在、影響を受けるパッケージはai-sdk-ollamaのバージョン0.13.1、1.1.1、2.2.1、3.8.5です。StepSecurityは完全な分析レポート（攻撃チェーン、IOCリスト、復旧手順を含む）を公開しており、ユーザーは影響を受けたパッケージを確認し、GitHub Actionsワークフローに不審な変更がないか調査することを推奨しています。