G_Wagon: npmパッケージを通じて100以上の仮想通貨ウォレットを標的とするPythonスティーラーの配布

【なぜ重要か】 UI コンポーネントライブラリを装った悪性npmパッケージが発見され、多段階の情報窃取マルウェアを配布している。このマルウェアは仮想通貨ウォレット、ブラウザ認証情報、クラウド認証情報、Discordトークンを窃取する高度な機能を持ち、Node.js開発者にとって深刻な脅威となる。

【ポイント】

• ansi-universal-uiという名前のnpmパッケージが、正当なUIライブラリを装いながら、内部でG_Wagonと呼ばれる多段階情報窃取マルウェアを配布
• 攻撃者は2日間で10バージョンをリリースし、初期はテスト用プレースホルダーから始まり、段階的に武器化を進行（v1.3.5で実際のペイロード追加、v1.4.0でメモリ内実行に進化）
• 自己依存トリック（パッケージが自身の古いバージョンに依存し、postinstallフックを2回実行）や偽のブランディング（Virtual Rendering Engineなど存在しない機能の説明）を使用した巧妙な偽装
• v1.4.0以降はペイロードをbase64エンコードしてstdin経由で実行することで、ディスク上に痕跡を残さないファイルレス実行を実現
• WindowsのDLLをブラウザプロセスに注入し、NT APIを使用してブラウザ認証情報や仮想通貨ウォレット情報をAppwriteストレージバケットに送信

【まとめ】 正当なnpmパッケージを装った高度なマルウェアが活発に開発・進化しており、開発者はnpm依存関係の検証とセキュリティツールによる監視を強化する必要がある。