Mini Shai-Hulud再び：npmワームがAlibabaの@antvパッケージなど数百個を侵害

【なぜ重要か】 Alibabaの@antvデータ可視化ライブラリやecharts-for-reactなど広く使われているJavaScriptパッケージが、npmサプライチェーン攻撃により侵害されました。インストール時に実行されるマルウェアがCI/CD環境やAWS認証情報、GitHubトークンを窃取し、盗んだトークンで2,700以上の不正リポジトリを作成しています。

【ポイント】

• @antv/g2、@antv/g6、echarts-for-react（週110万ダウンロード）など、データ可視化系の主要パッケージが標的
• インストール時にpreinstallフックが実行され、GitHub・npm・AWSトークン、SSH鍵、環境変数などを窃取
• VS CodeとClaude Codeの設定ファイル（.vscode/tasks.json、.claude/settings.json）にバックドアを仕込み、パッケージ削除後も永続化
• 窃取したnpmトークンで新たなパッケージに感染を拡散するワーム機能により、継続的に被害が拡大
• パッケージ検知が数分で行われても、インストール時実行により被害は検知前に発生済み

【まとめ】 4月から続くMini Shai-Huludキャンペーンの第3波で、各波がより大規模・高速化しています。影響を受けた環境では認証情報のローテーション、永続化アーティファクトの削除、最近の公開活動の監査が必要です。