npmに約800個の悪意あるパッケージが公開、WindowsやMacを狙う遠隔操作マルウェアが判明

要点

• JavaScriptパッケージの管理サービス「npm」に、Windows、macOS、Linuxを狙う約800個の悪意あるパッケージが公開されていた。

• 従来の自動実行される攻撃とは異なり、開発者がJavaScript内で手動読み込み（require）を行った際にマルウェアが作動する。

• 接続先サーバーが遮断された場合に備え、ドメインの「DNS TXTレコード」から分割データを集めて復元する迂回ダウンロード機能を備えていた。

• macOS向けファイル内にロシアの金融機関や決済サービスのドメインが含まれており、同国の金融セクターが標的となっている可能性がある。

• JavaScript向けパッケージ管理サービス「npm」の公式レジストリ上に、主要なOSを標的とした約800個の悪意あるパッケージが公開されていたことが、2026年8月7日に公開されたセキュリティ研究者らの報告で明らかになった。これらのパッケージはWindows、macOS、Linuxに対応し、システムの遠隔操作や情報窃取を行うマルウェアを感染させる機能を持つ。この一連の攻撃は、現在「Flooding Dropper」などの名称で追跡されている。

• 調査を行ったOpenSourceMalwareの研究者ポール・マッカーティ（Paul McCarty）氏によると、これらのパッケージはAIが自動生成した無意味な文字列や、実在する人気パッケージの綴りに似せた「タイポスクワッティング（打ち間違いを狙う名称）」で登録されていた。しかし、中身はすべて遠隔操作用のRAT（外部から端末を操作するマルウェア）やインフォスティーラー（情報窃取ツール）が仕込まれていたという。

• 今回の攻撃が一般的なnpmサプライチェーン攻撃と異なるのは、パッケージが実行される契機だ。従来は、インストール時に自動実行される「ライフサイクルフック（処理の前後に割り込む仕組み）」を悪用する例が多かった。しかし今回のパッケージは、READMEファイル内で開発者に対し、JavaScriptのモジュール読み込み機能である「require()」関数を使って手動でプログラムに読み込ませるよう促す設計になっていた。

• コードに読み込まれると、まず「WEL1DROPPER」と呼ばれるダウンローダーが起動する。これはホストのOSやCPUアーキテクチャ（CPUの設計仕様）を特定し、Cloudflare Workersで構築された3つのドメインのいずれかから環境に応じたファイルをダウンロードする。

• もしHTTPS経由のダウンロードが遮断された場合、プログラムは「DNS TXTレコード（ドメインにテキスト情報を紐付ける設定）」を利用した代替手段をとる。特定のドメインからTXTレコードを要求し、得られた分割データの総数（1〜2,000個）に基づいて細切れのデータをリクエストして結合・復元する。復元された実行ファイルは一時フォルダに保存され、Linux/macOSでは「/bin/sh」、Windowsでは「cmd.exe」を介して実行される。

• セキュリティ企業Sonatypeの分析によると、最終段階のプログラムには検知を回避するための高度な処理が組み込まれている。

• Windows向けでは、プログラムはバックグラウンドで動く独立したプロセスとして起動。動作ログ収集機能「ETW」やセキュリティソフトとの連携規格「AMSI」の検知機能を無効化し、仮想環境の有無を検証する。その後、レジストリやタスクスケジューラに自動起動設定を登録し、最終的な実行ファイルをダウンロードして実行する。

• macOS向けも同様にデバッガなどの有無を確認し、実行ファイルを取得して「LaunchAgent（自動起動機能）」に登録する。

• なお、macOS版の接続先データにはロシアの「tcsbank[.]ru」や「cloudpayments[.]ru」が含まれており、同国の金融セクターが標的となっている可能性が指摘されている。この攻撃は、今年4月に確認されたキャンペーン「Moika」の進化版とみられる。

• Linux向けは、プログラム容量を圧縮する「UPX」で難読化された「ELFバイナリ（実行ファイル）」形式だった。これはCloudflare Workerから追加データを読み込み、最終的にオープンソースの遠隔操作フレームワーク「Sliver」を展開する。

• また、パッケージ内には一見通常の解析ツールに見える「lib/telemetry.js」が含まれていた。実際にはダウンローダーコードが仕込まれていたが、パッケージ起動時には呼び出されない。これは簡易的な監査時に、悪意ある挙動を通常の「テレメトリ（利用状況分析）」に見せかけて監視の目をそらすためのノイズと推測されている。

• 関連する動きとして、Palo Alto Networksの脅威インテリジェンス調査チームである「Unit 42」も、npmやPython用パッケージ管理サービス「PyPI」を標的とした別キャンペーンを報告した。これらのパッケージは、インストール後に「IIFE（即時実行関数式）」というJavaScriptの記述方法を用いて接続先URLを難読化して組み立て、外部から暗号資産窃取ツールや遠隔操作プログラムをダウンロードする仕組みだった。