産業スパイ疑惑のパッケージ「SqzrFramework480」、NuGetで発見！

Last Updated on 2024-09-17 06:22 by 門倉 朋宏

脅威ハンターは、NuGetパッケージマネージャー内に産業スパイを目的とした疑わしいパッケージが存在することを特定した。このパッケージは「SqzrFramework480」と名付けられ、2024年1月24日に初めて公開され、記事執筆時点で2,999回ダウンロードされている。このパッケージは、中国の産業およびデジタル機器製造を専門とする企業、Bozhon Precision Industry Technology Co., Ltd.に関連している可能性がある。パッケージのアイコンには同社のロゴのバージョンが使用されており、Nugetユーザーアカウント「zhaoyushun1999」によってアップロードされた。

パッケージに含まれる「SqzrFramework480.dll」というDLLファイルには、スクリーンショットを撮影し、30秒ごとにリモートIPアドレスにpingを送り、成功するまで操作を続け、スクリーンショットを作成したIPアドレスに接続されたソケットを介して送信する機能がある。これらの振る舞いは個別には必ずしも悪意があるわけではないが、組み合わせると警戒を引き起こす。pingは、データ抽出サーバーが生きているかを確認するためのハートビートチェックとして機能する。

このパッケージの正確な動機はまだ明らかではないが、敵対者が悪意のあるコードを表面上無害なソフトウェアに隠して被害者を妥協する手法に着実に頼っていることは既知の事実である。別の無害な説明として、このパッケージは開発者または同社と協力する第三者によって漏洩した可能性がある。継続的なスクリーンキャプチャの行動が悪意あるように見えるかもしれないが、これは単に開発者がメインモニターのカメラからワーカーステーションに画像をストリーミングする方法である可能性がある。

このパッケージに関する曖昧さはさておき、この発見はサプライチェーンの脅威の複雑な性質を強調し、ユーザーがダウンロードする前にライブラリを慎重に検討することが不可欠であることを示している。オープンソースリポジトリのようなNuGetは、開発者を引き付けて悪意のあるライブラリや他のモジュールをダウンロードして開発パイプラインに組み込むように騙す、疑わしいおよび悪意のあるパッケージをますますホスティングしている。

【ニュース解説】

産業スパイを目的とした疑わしいNuGetパッケージ「SqzrFramework480」が発見されました。このパッケージは、2024年1月24日に初めて公開され、記事執筆時点で2,999回ダウンロードされています。このパッケージは、中国の産業およびデジタル機器製造を専門とするBozhon Precision Industry Technology Co., Ltd.に関連している可能性があり、特定のDLLファイルを通じてスクリーンショットの撮影やリモートIPアドレスへのping送信、スクリーンショットの送信などの機能が含まれています。

このような機能は個々には悪意があるわけではないものの、組み合わせることで産業スパイ活動に利用される可能性があります。特に、pingを利用したハートビートチェックは、データ抽出サーバーが稼働しているかを確認するために使用されることが示唆されています。

この事件は、オープンソースリポジトリが悪意のあるパッケージによってどのように悪用され得るかを浮き彫りにしています。開発者は、ライブラリやモジュールをダウンロードして自身の開発パイプラインに組み込む際に、その安全性を慎重に検討する必要があります。特に、産業スパイのような目的で設計されたパッケージは、企業の機密情報や知的財産の漏洩につながる可能性があり、重大なセキュリティリスクをもたらします。

この事件から学ぶべき重要な教訓は、開発者が使用するオープンソースのライブラリやツールが、常に安全であるとは限らないということです。そのため、開発者や企業は、使用するソフトウェアの出所を確認し、セキュリティ対策を講じることが不可欠です。また、サプライチェーン攻撃への対策として、ソフトウェアの依存関係を定期的に監視し、不審な活動や脆弱性が発見された場合には迅速に対応する体制を整えることが求められます。

長期的な視点では、このような脅威に対抗するためには、開発コミュニティ全体でのセキュリティ意識の向上と、オープンソースプロジェクトのセキュリティ対策の強化が必要です。また、企業は自社のセキュリティポリシーを見直し、外部からのソフトウェアを導入する際のリスク評価と管理プロセスを確立することが重要です。

from Malicious NuGet Package Linked to Industrial Espionage Targets Developers.