GraphalgoキャンペーンがTerraformプロバイダーおよびGoモジュールへ拡大

【なぜ重要か】 Goエコシステムを標的にしたサプライチェーン攻撃が、従来のNPMパッケージに加え、TerraformプロバイダーおよびGoモジュールにまで拡大したことが確認された。Terraformプロバイダーを通じたマルウェアの組織的配布は今回が初めての事例であり、DevOpsエンジニアやインフラ担当者が直接の攻撃対象となっている。感染した場合、クラウドや本番環境の認証情報が侵害されるリスクが高い。

【ポイント】

• 影響を受けるパッケージ： TerraformプロバイダーとしてはDockerdの人気プロバイダー（kreuzwerker/docker）を5600万ダウンロードを持つ正規パッケージに偽装したタイポスクワット版（kreuzwenker/docker）を含む2種、GoモジュールとしてはgoCommunity.io/orderedbtreeおよびgogets.dev/btreexの計2種が確認された。
• 高度な起動条件による隠蔽： TerraformプロバイダーはTerraform変数の連結値のSHA256ハッシュが特定値と一致した場合にのみ動作し、Goモジュールのbtreexもオブジェクトのpriceフィールドが特定値の場合にのみ起動する。いずれも標的型攻撃を強く示唆する設計である。
• 二段階RATとデュアルC2チャネル： 第2ステージのマルウェアはGoで実装されたRAT（遠隔操作型マルウェア）であり、C2通信にSlack APIとArbitrum SepoliaテストネットのEthereum スマートコントラクトを二重に使用する。パッケージ削除後もSlack APIやブロックチェーン経由で感染端末へのアクセスが維持される可能性がある。
• GraphalgoキャンペーンとのNPM共通インフラ： 使用されている公開鍵・スマートコントラクトアドレス・Slackワークスペースは、ReversingLabsが2026年2月に報告したNPM向けGraphalgoキャンペーンと一致しており、同一の脅威アクターによる継続的な活動と判断される。感染ホストは18台、被害者はWindows 3台・Linux 5台・macOS 10台が確認されている。
• 偽のGoエコシステムによるソーシャルエンジニアリング： 脅威アクターはgocommunity.ioおよびgogets.devという偽のGoパッケージエコシステムサイトを構築し、悪意あるパッケージの正当性を演出している。また、GoモジュールプロキシとPkg.go.devに偽のリリース日付が表示されるよう、コミット日付の改ざんも行っている。

【まとめ】 GoおよびTerraformのサプライチェーンを標的とした高度な標的型攻撃であり、該当パッケージを使用した開発者・DevOps担当者は直ちに対応が必要である。具体的には、当該パッケージが導入されたマシンを即座にネットワークから隔離し、そのマシンで利用されていたすべての認証情報（GitHubトークン・クラウドクレデンシャル・SSHキー等）をローテーションし、マシンの再イメージ化を行うこと。パッケージを削除するだけでは第2ステージのプロセスが残存する可能性があるため、不十分である。