npmワーム「Mini Shai-Hulud」が再び活動、TanStackやMistralなど160以上のパッケージに感染

【なぜ重要か】 日本でも広く利用されるTanStackやMistralなどの人気npmパッケージ160以上にマルウェアが感染し、開発環境やCI/CDシステムから認証情報を窃取して更なる感染拡大を図っています。感染したパッケージを使用している場合、GitHub/npmトークンやAWS認証情報などの機密情報が漏洩する可能性があります。

【ポイント】

• 373個の悪意あるパッケージバージョンが169個のnpmパッケージ名で確認され、@tanstack、@mistralai、@uipathなどの主要パッケージが含まれる
• マルウェアはGitHub依存関係のprepareスクリプトを悪用してrouter_init.jsを実行し、オプショナル依存関係の失敗を偽装して検知を回避
• 窃取対象はGitHub/npmトークン、AWS認証情報、Kubernetes機密情報、環境変数など開発・運用に必要な認証情報全般
• 盗んだトークンを使用して新たなパッケージに感染を拡散する自己伝播機能を持つ
• 信頼できるパブリッシング（OIDC）を悪用してプロヴナンス付きの悪意あるパッケージを作成する高度な手法を採用

【まとめ】 開発者は記載されたパッケージバージョンを至急確認し、該当する場合は関連する認証情報をローテーションする必要があります。