SlowMist、Keyvエコシステムを狙う大規模npmサプライチェーン攻撃を検知

ブロックチェーン・セキュリティ企業のSlowMist（@SlowMist_Team）は、脅威インテリジェンスシステム「MistEye」により、Keyv／Cacheableエコシステムを標的とした大規模なnpmサプライチェーン攻撃を検知したと明らかにした。攻撃者は「keyv@6.0.0」を含む中核コンポーネントなど、2,000件超の悪意あるパッケージバージョンを公開したという。 Keyvは、Redis、SQLite、PostgreSQL、MongoDBなどをバックエンドに利用できるキーバリューストレージの抽象化ライブラリで、週あたり約1億2,700万回ダウンロードされている。利用規模の大きさから、下流の依存関係を含むサプライチェーン全体に深刻なリスクが波及する可能性がある。 今回の手口は、過去に観測されたShaiHuludのnpmワームキャンペーンと類似し、自動化とスケール面で高度だとしている。想定される影響は、認証情報の窃取、環境変数の露出、CI/CDのシークレット漏えい、リモートでのペイロード配信、横展開（ラテラルムーブメント）など。 SlowMistは、セキュリティ担当者に対し、影響を受けたバージョンの特定と除去、検証済みの安全なバージョンへの更新、依存関係ロックファイルとビルドログの精査、不審な外向き通信の監視、漏えいの恐れがある認証情報のローテーションを推奨している。侵害が疑われる場合は、信頼できるソースから環境を再構築するよう呼びかけた。