npmパッケージのサプライチェーン問題

npmパッケージのサプライチェーン問題 Findy_tech baton LT #sec_wakate 2025/12/04 セキュリティ若手の会 1

sada atsushi • fintechベンチャーで働く 24卒セキュリティエンジニア ◦ CSIRT: Cloud & Enterprise
Security • 修了 ◦ セキュリティ・キャンプ全国大会 2021 ◦ SecHack365 2023 • 所属 ◦ Finatext inc. (4419) 2 自己紹介セキュリティ若手の会 CONFIDENTIAL • プログラマー ◦ sisakulint: GitHub Actionsの静的解析&Autofix ◦ disarmBot: マルチLLM AgentでMITRE ATT&CK有効活用 ◦ MachStealer: macOS向けChromeの擬似InfoStealer • 同人誌2冊に寄稿 ◦ サークル名：Security For Beginners • ワークショップ1本 ◦ LLMセキュリティの攻防入門 • 講演 ◦ BlackHat Arsenal ◦ JSAC ◦ AWS Security JAWS

3 サプライチェーンセキュリティは横断的テーマセキュリティ若手の会 CONFIDENTIAL プロダクトセキュリティコーポレートセキュリティ脆弱性診断・ペネトレーションテストクラウドセキュリティインシデントレスポンス脆弱性管理
端末管理内部・外部の監査やポリシーの策定仕組みづくりによる診断の補完

4 横断的テーマを各幹事が取り扱っているセキュリティ若手の会 CONFIDENTIAL プロダクトセキュリティコーポレートセキュリティ脆弱性診断クラウドセキュリティインシデントレスポンス脆弱性管理
仕組みづくりによる診断の補完 aquaから学ぶパッケージマネージャーの選び方 OSSをつくる人・つかう人と伴走するセキュリティ診断AIエージェントバグハンター視点によるサプライチェーンの脆弱性 npmパッケージのサプライチェーン問題

対策については触れず • 問題の切り分け • 影響調査・インシデントレスポンスの話をメインでやります 5 セキュリティ若手の会 CONFIDENTIAL disclaimer

最近のインシデントレスポンス問題の切り分け • actions等CIのworkflowで悪意のあるパッケージが動いた形跡がないか • 開発者端末で悪意のあるパッケージが動き「情報の持ち出し等の」痕
跡がないかセキュリティ若手の会 6 CONFIDENTIAL https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised npmパッケージのサプライチェーン問題

前半と後半で異なる対応 • 前半では、まず使ってるライブラリで、マルウェアが仕込まれているバージョンを使ってビルドしてしまわなかったかの確認 ◦ 各リポジトリごとに「path:**/package-lock.json package_name」などのGitHubクエリ検索 ▪
pnpm-lock.yaml とか yarn.lockも ◦ 各versionを見て一致してしまっていないか、裏をとる ◦ GitHub Security Advisory にIDが採番されたら DependaBotによる影響確認もできるセキュリティ若手の会 7 CONFIDENTIAL https://www.wiz.io/blog/shai-hulud-npm-suppl y-chain-attack

セキュリティ若手の会 8 CONFIDENTIAL 仮に影響のあるバージョンを使っていたらインシデントレスポンスの王道の流れを実行検出と分析、封じ込め、根絶、復旧 ◦ 影響を受けたリポジトリの洗い出しと感染経路の特定 ◦ 該当パッケージを除去するまでデプロイを一時停止
◦ exfiltrateされた可能性のある keyのローテーション ◦ クリーンな環境に復元 ▪ コンテナを活用した(ディスポーザブルな)サーバー管理の重要性

前半と後半で異なる対応 • 後半では、マルウェアが仕込まれているバージョンを開発者端末で叩いてしまって影響を受けたものがないかどうかを確認する ◦ 確実に「情報の持ち出し」等の痕跡がないことを担保し説明可能な状態にする ◦ 静的解析と動的解析の結果を持って「影響があった・なかった」と判断したい ◦ InfoStealer
▪ 証券会社のアカウント乗っ取り問題で活躍（本件はブラウザのデータを狙うもの） ▪ 今回はローカルからの持ち出しや悪意のあるC2サーバーとの通信先がないかを特定したいセキュリティ若手の会 9 CONFIDENTIAL https://www.sompocybersecurity.com/column/glossary/ioc https://github.com/chalk/chalk/issues/656

セキュリティ若手の会 10 CONFIDENTIAL IOCを活用したインシデントレスポンス • マルウェアの IOC ◦ Indicator of
Compromise（侵害指標）の略であり、システムやネットワークに侵害や攻撃があった際に残されるデータをさす。 ◦ 具体的には、システムログやマルウェアのシグネチャ、ハッシュ値、 IP アドレス、 URL、ドメイン名など • IOCをもとにEDRのログをクエリし確認 https://www.stepsecurity.io/blog/sha1-hulud-th e-second-coming-zapier-ens-domains-and-ot her-prominent-npm-packages-compromised#i mmediate-remediation-steps

ご清聴ありがとうございました Findy_tech baton LT #sec_wakate セキュリティ若手の会 11

npmパッケージのサプライチェーン問題

npmパッケージのサプライチェーン問題

atsushi, sada

Transcript