高度なAPTグループがソーシャルエンジニアリングキャンペーンを利用してXZ Utilsプロジェクトに侵入し、バックドアコードを挿入した。この攻撃は、プロジェクトのメンテナーであるLasse Collinをターゲットにし、Linuxディストリビューションへの大規模なサプライチェーン攻撃の一環として行われた。
ソーシャルエンジニアリングの攻撃のタイムラインはRuss Coxによって公開され、2021年末から始まった攻撃の詳細が記載されている。複数のアイデンティティがLasse Collinに圧力をかけ、バックドアコードの挿入を試みた。
バックドアコードは2024年2月と3月に挿入され、架空のアイデンティティであるJia Cheong Tanがこれを主導した。このコードはXZ Utilsのビルドプロセスを標的にし、Linuxディストリビューションへの挿入を目指した。
Debianメンテナーに対しても複数のアイデンティティが圧力をかけ、バックドアコードのディストリビューションへの取り込みを要求した。Hans JansenというアイデンティティがDebianの報告ログを作成し、バックドアコードの取り込みを急ぐように働きかけた。
ソーシャルエンジニアリングによるサプライチェーン攻撃は、技術的な要件が低く、オープンソースプロジェクトを標的にしたインシデントが増えると予想されている。この種の攻撃は、開発環境への完全なアクセスを得るために、大きな努力を必要とする。
【ニュース解説】
高度なAPT（Advanced Persistent Threat）グループが、ソーシャルエンジニアリングの手法を駆使して、オープンソースプロジェクト「XZ Utils」に侵入し、バックドアコードを挿入するという事件が発生しました。この攻撃は、プロジェクトのメンテナーであるLasse Collinをターゲットにし、Linuxディストリビューションへの大規模なサプライチェーン攻撃の一環として行われました。
この攻撃の特徴は、その精巧なソーシャルエンジニアリング戦略にあります。2021年末から始まったとされるこの攻撃では、複数の架空のアイデンティティが用いられ、プロジェクトのメンテナーに対して圧力をかけ、最終的にはバックドアコードの挿入に成功しました。このバックドアコードは、XZ Utilsのビルドプロセスを標的にし、Linuxディストリビューションへの挿入を目指しました。
また、Debianメンテナーに対しても複数のアイデンティティが圧力をかけ、バックドアコードのディストリビューションへの取り込みを要求しました。このように、攻撃者は複数のフロントから同時に圧力をかけることで、目的を達成しようとしました。
この事件は、ソーシャルエンジニアリングによるサプライチェーン攻撃のリスクを浮き彫りにしました。技術的な要件が比較的低いため、オープンソースプロジェクトを標的にした同様のインシデントが今後増加する可能性があります。開発環境への完全なアクセスを得るためには、攻撃者は大きな努力を必要としますが、ソーシャルエンジニアリングを駆使することで、そのハードルを下げることができるのです。
この事件から学ぶべき教訓は、オープンソースプロジェクトのセキュリティ対策を強化することの重要性です。特に、プロジェクトのメンテナーやコントリビューターの身元確認、コードレビューの徹底、そして異常なコミットパターンの監視などが挙げられます。また、コミュニティ全体でのセキュリティ意識の向上と、疑わしい活動に対する迅速な対応が求められます。
このような攻撃は、単に技術的な問題だけでなく、人間の心理を利用したものであるため、防御はより複雑です。しかし、適切な対策と意識の高揚により、リスクを最小限に抑えることが可能です。この事件を教訓として、オープンソースプロジェクトのセキュリティ対策の強化が、より一層重要視されることでしょう。
