SAP npmパッケージを標的とした「Mini Shai-Hulud」マルウェアによるサプライチェーン攻撃

【なぜ重要か】 SAP開発エコシステムの主要npmパッケージが侵害され、開発者マシンやCI/CDランナーから認証情報を窃取するマルウェアが仕込まれました。影響を受けたパッケージは @cap-js/sqlite、@cap-js/postgres、@cap-js/db-service、mbt で、これらはSAP開発ワークフローで広く使用されています。

【ポイント】

• 侵害されたパッケージは preinstall フックを使用し、npm install 時に自動実行される悪意のあるコード（setup.mjs、execution.js）を含む
• マルウェアはBunランタイムをダウンロードして11.7MBの難読化ペイロードを実行し、GitHub・npm・AWS・Azure・GCP・Kubernetesの認証情報とGitHub Actions秘密情報を窃取
• 盗取したデータはGitHubリポジトリ経由で流出し、「A Mini Shai-Hulud has Appeared」という説明文のリポジトリが作成される
• CircleCIのプルリクエストビルドでnpmトークンが露出したことが侵害の起点と推定される
• マルウェアは開発者ワークフローを通じて拡散し、GitHubコミットを使ったトークンのデッドドロップ機能も持つ

【まとめ】 該当パッケージの使用有無を確認し、インストールされていた場合は直ちにGitHub・npm・クラウドプロバイダーの全認証情報をローテーションする必要があります。