Shai-Hulud：ソフトウェアパイプラインを通じて拡散するマルウェアについて知っておくべきこと

📄原文全文· trafilatura により自動抽出Gemini 翻譯5906 文字

要約 - Shai-Huludマルウェアは、約300のnpmおよびPyPIパッケージエントリに関連付けられている。 - OpenAI、Microsoft、Mistral AIが、最近のShai-Huludに関連するインシデントを公表した。 - このマルウェアは、GitHub Actionsおよび信頼されたソフトウェア公開ワークフローを悪用した。「Shai-Hulud」として知られるマルウェアキャンペーンが、開発者がコードの構築や配布に使用するソフトウェアパイプラインを通じて拡散しており、現代のインターネットがいかに直接的な人的監視をほとんど伴わない自動化システムに依存しているかという点について、新たな懸念が生じている。研究者らは、Shai-Huludマルウェアキャンペーンを、開発者がJavaScriptやPythonのソフトウェアパッケージをダウンロード・共有するために使用する最大のオンラインリポジトリであるNode Package Manager (NPM) およびPyPI全体で、約320のパッケージエントリに関連付けた。影響を受けたパッケージは、合計で月間5億1800万回以上のダウンロード数を誇る。カリフォルニア州に拠点を置くセキュリティ企業Contrast SecurityのCTOであるJeff Williams氏はDecryptに対し、「Shai-Huludが重大なのは、パッチを当てるだけでは完全に対処できない問題を露呈させたからです。現代のソフトウェアは、他人のコードを実行することで構築されています」と語った。「開発者はライブラリを単に『ダウンロード』するだけではありません。インストールし、それを使って構築し、テストし、デプロイし、最終的に実行します。もし悪意のあるライブラリを実行してしまえば、それはあなたが実行できるほぼすべてのことが可能になります」 Williams氏は、人工知能の進歩がこの脅威を複雑にしていると述べ、Shai-Huludをコンピュータを二重スパイに仕立てることに例えた。「恐ろしいのはレバレッジ（テコ）が効く点です。攻撃者が1つの無名なパッケージを侵害すれば、彼らはそのパッケージだけを手に入れるわけではありません」とWilliams氏は述べた。「彼らは、そのパッケージを信頼するすべての下流プロジェクトへの経路を手に入れるのです。その後、より多くのトークンを盗み、より多くの汚染されたパッケージを公開し、そのサイクルを繰り返すことができます。ソフトウェアサプライチェーンはもはやチェーン（鎖）ではなく、伝播ネットワークなのです」と付け加えた。今月初め、Microsoft Threat Intelligenceは、攻撃者がPyPIを通じて配布されたMistral AIのソフトウェアパッケージに悪意のあるコードを挿入したことを公表した。Microsoftによると、このマルウェアは、機械学習の開発環境に溶け込めるよう、Hugging Faceの広く使用されているTransformersライブラリを模倣した追加ファイルをダウンロードしていたという。 Mistralはその後、影響を受けた開発者のデバイスがこのインシデントに関与していたことを認めたが、「Mistralのインフラが侵害されたという兆候はない」と付け加えた。その2日後、OpenAIは、同キャンペーンに関連するマルウェアが2台の従業員デバイスに感染し、攻撃者が限られた数の内部コードリポジトリにアクセスしたことを確認した。同社は、顧客データ、本番システム、または知的財産が侵害された証拠は見つかっていないと述べた。 Shai-Huludの到来 Frank Herbertの「Dune」に登場する巨大なサンドワームにちなんで名付けられたこのマルウェアについて、研究者らは初期バージョンを2025年9月まで遡り、TeamPCPとして知られるサイバー犯罪者グループを特定した。しかし、このキャンペーンがより広く注目を集めたのは、Webおよびクラウドアプリケーションで広く使用されているオープンソースのJavaScriptフレームワークであるTanStackを標的とした5月11日の大規模な攻撃の後である。 Shai-Huludは、ハッカーが他社がすでに使用している信頼されたソフトウェアツールやサービスを侵害する、増加傾向にあるサプライチェーン攻撃の一種である。攻撃者は被害者を直接標的にするのではなく、それらの信頼されたシステムを利用して悪意のあるコードを拡散したり、開発環境へのアクセス権を得たりする。研究者らは、この攻撃が共有ビルドキャッシュを汚染し、将来のソフトウェアリリースが密かに悪意のあるコードを取り込むように仕向けていると指摘する。パッケージをダウンロードする開発者にとって、ソフトウェアは信頼できるソースから提供され、有効な署名が付与され、通常のセキュリティチェックを通過しているため、すべてが正常に見える。それがこの攻撃を非常に厄介なものにしている。日曜日、サイバーセキュリティ企業のOX Securityは、元のマルウェアを模倣した新しい悪意のあるパッケージが、すでにクラウドや仮想通貨ウォレットの認証情報、SSH

データステータス✓ 全文抽出済み原文を読む（Decrypt）

🔍過去の類似イベント· キーワード + 銘柄照合6 件

2026-05-29

評論家は語る：XRPのカウントダウンが始まった、知っておくべきこと

類似度 130%關鍵字 what/know

2026-05-27

Fortuneの「最もパワフルな女性」リストに初めて選出された暗号資産界のリーダー、Yi Heについて知っておくべき5つのこと

類似度 130%關鍵字 about/know

2026-05-25

新Fed議長Kevin Warshについて知っておくべき3つのこと

類似度 130%關鍵字 about/know

2026-05-22