React Native電話番号パッケージを狙ったGlasswormサプライチェーン攻撃

【なぜ重要か】 2026年3月16日、人気のReact Nativeパッケージ2つが同日に侵害され、npm installだけでWindowsクレデンシャル・暗号通貨窃取マルウェアが実行される攻撃が発生しました。週間ダウンロード数約3万件、月間13万件の利用実績があるパッケージのため、多くの開発者が影響を受ける可能性があります。

【ポイント】

• react-native-country-select@0.3.91とreact-native-international-phone-number@0.11.8の2パッケージが同日10時台に侵害され、preinstallフックにマルウェアローダーが追加された
• パッケージインストール時にSolana RPCからステージ2ペイロードを取得し、AES復号化を経てWindows向けクレデンシャル・暗号通貨窃取マルウェアを実行する多段階攻撃
• ロシア語ロケール（ru_RU、Russian等）やタイムゾーンをチェックし、ロシア環境では実行しないフィルタリング機能を搭載
• schtasksとレジストリRunキーを使用したWindows永続化機能、Google Calendarを経由した追加コンポーネントダウンロード機能
• 攻撃者は45.32.150.251サーバとGoogle Calendarを組み合わせた柔軟な制御インフラを構築し、npmパッケージ再公開なしに攻撃チェーンを変更可能

【まとめ】 React Native開発者は該当バージョンの使用を即座に停止し、依存関係を確認してクリーンなバージョンへの更新が必要です。