ブロックチェーンを指令サーバーに悪用、フロントエンド開発ツール「Vite」を狙う7つの有害npmパッケージが発覚

要点

• フロントエンド開発ツール「Vite」のエコシステムを標的とした、7つの有害なnpmパッケージが新たに発見された。

• 攻撃者はブロックチェーン上にC2（指令）サーバーを構築しており、セキュリティ機関によるインフラの強制停止や差し押さえを困難にしている。

• パッケージはインストール時ではなく、プロジェクトへの「インポート（取り込み）」時に初めて悪意あるコードを実行し、検知を逃れていた。

• 感染すると、攻撃者がシステムの遠隔操作を可能にする「RAT（遠隔操作ツール）」などのマルウェアが配信される。

• 専門家は対象パッケージの即時削除、依存関係の調査、および認証情報の変更や設定ファイルの改ざん確認を推奨している。

• ソフトウェアの開発や流通プロセスを狙う「サプライチェーン攻撃」（信頼されている製品の開発・配布経路に侵入し、利用者を攻撃する手法）の新たな事例が明らかになりました。セキュリティ企業Checkmarx（チェックマークス）の研究者であるPavan Gudimalla（パヴァン・グディマラ）氏は、Webアプリの画面設計などを効率化するフロントエンドツール「Vite」のエコシステムを標的とした、7つの悪意あるnpm（JavaScript向けのパッケージ管理システム）パッケージが発見されたと報告しました。この攻撃キャンペーンは「ViteVenom」と名付けられており、検知を逃れながら開発者の環境に遠隔操作用のマルウェアを送り込むよう巧妙に設計されていました。

• 今回の発見は、以前に観測された「ChainVeil」と呼ばれる悪意あるキャンペーンの活動規模が拡大したものであると分析されています。この攻撃の最大の特徴は、マルウェアに命令を下す「C2（コマンド＆コントロール）サーバー」（攻撃者が標的のコンピュータに命令を送るための司令塔）の役割として、暗号資産の基盤であるブロックチェーン技術を悪用している点です。具体的には、「Tron」「Aptos」「Binance Smart Chain（BSC）」という3つの異なるブロックチェーンを組み合わせた、前例のない4層構造のC2インフラが構築されていました。

• ブロックチェーン上に指令情報を記録する最大の利点は、セキュリティ機関による「テイクダウン（サーバーの差し押さえや停止処置）」を回避できることにあります。通常の攻撃であれば、攻撃用のサーバーが置かれているドメイン（インターネット上の住所）を差し押さえることで通信を遮断できますが、分散型のブロックチェーンに書き込まれた取引履歴データを差し押さえることは不可能です。このため、インフラの無効化が極めて困難であると専門家は指摘しています。この手法を駆使する攻撃グループ「SuccessKey」は、2026年2月27日にはすでに攻撃用のウォレットを有効化させ、活動を開始していたとみられます。

• 前身のChainVeilキャンペーンでは、CSSフレームワークのTailwindやSassなどを装った「rate-limit-flexible」のような名前のパッケージが流通していました。これらは一般的なパッケージ名の打ち間違いを狙う「タイポスクワッティング」と呼ばれる偽装手法でした。これに対して今回のViteVenomでは、Viteの公式ネームスペースである「@vitejs/*」の表記を模倣し、「@vite-pro/vite-ui」や「@vite-ts/vite-ui」といった「スコープ付き」の名前を採用していたのが特徴です。組織や公式プロジェクトが作成したパッケージのように見せかけることで、開発者の警戒を解く巧妙な手口へと進化しています。

• Checkmarxが特定した、2026年6月29日から7月3日の間に公開された悪意あるパッケージと、それぞれのダウンロード数は以下の通りです。

• @uw010010/vite-tree（1,070ダウンロード）

• @vite-tab/tab（289ダウンロード）

• @vite-ln/build-ts（252ダウンロード）

• @vite-mcp/vite-type（239ダウンロード）

• @vite-pro/vite-ui（200ダウンロード）

• @vitets/vite-ts（194ダウンロード）

• @vite-ts/vite-ui（176ダウンロード）

• これらのパッケージが動作する仕組みも極めて入念に隠蔽されていました。一般的なマルウェアはパッケージがシステムにインストールされる時点で実行されますが、ViteVenomはインストール時には何も行いません。開発者が自身のコード内で該当パッケージを「インポート（プログラムの読み込み）」したタイミングで、初めて起動します。これにより、インストール時の挙動を監視する端末側のセキュリティソフトによる検知を回避しています。

• インポートされて起動したコードは、まずTronブロックチェーンを探索して攻撃者のウォレットから送信された最新の取引データを見つけ出し、そこからBSCの取引ハッシュを取得します。次にBSCの取引データを照会して、インプットフィールドに格納されている暗号化された「ペイロード」（悪意あるコード本体）を抽出し、あらかじめコード内に記述されていたキーを使って復号し実行します。もしTronからのデータ取得に失敗した場合はAptosのブロックチェーンをバックアップとして利用するほか、ブロックチェーン自体を完全にバイパスして、HTTP経由で直接C2サーバーからマルウェアを取得する二重の回避ルートまで用意されていました。

• 最終的に実行されるマルウェアは、開発者のシステムを外部から制御する「RAT」（Remote Access Trojan：遠隔操作ツール）です。このRATは、攻撃者のサーバーへ逆方向に通信を確立する「リバースシェル」を構築し、システム内の認証情報を収集したり、ファイルを外部に盗み出したりします。また、システム内に永続的に潜伏するためのバックドア（裏口）を設置する機能も備えています。

• 補足：

• 今回の分析を行ったCheckmarx社は、パッケージ名や公開アカウント、ウォレットアドレスなどに細かい違いが見られるものの、これらは攻撃者が一部の発覚による全体への影響を抑えるために、流通経路を個別に「区分け（コンパートメント化）」して管理していることの表れであると説明しています。被害に遭わないために、該当するパッケージをインストールした心当たりがある場合はただちに削除し、関連するすべてのパスワードや認証情報を変更すること、またシェル環境を定義する .bashrc や .zshrc などの設定ファイルに不審な改ざんが行われていないか確認することが呼びかけられています。