Laravel-Langパッケージを標的とした認証情報窃取サプライチェーン攻撃

【なぜ重要か】 Laravelの多言語化で広く使用されているlaravel-langパッケージが悪意あるバージョンタグを通じて攻撃され、開発者の認証情報が大規模に窃取される事態が発生しました。攻撃者は公式リポジトリにコードをコミットすることなく、フォークを悪用してmalicious版を配布する巧妙な手法を使用しており、多くの開発環境が影響を受ける可能性があります。

【ポイント】

• GitHubのバージョンタグ機能を悪用し、攻撃者が制御するフォークのコミットを指すタグを作成することで、公式リポジトリを汚染することなく悪意あるコードを配布
• 感染すると2段階で動作：1段階目でドロッパーがC2サーバー（flipboxstudio.info）から本体を取得、2段階目で約5,900行のPHP製認証情報窃取ツールが実行される
• AWSやGCP等のクラウド認証情報、SSH秘密鍵、Gitクレデンシャル、ブラウザ保存パスワード、仮想通貨ウォレット、VPN設定など15の専門モジュールで幅広い情報を窃取
• laravel-lang/lang（7.8k stars）、laravel-lang/attributes、laravel-lang/http-statusesの3つのリポジトリで計233バージョンが感染
• 窃取した情報はAES-256で暗号化してC2サーバーに送信後、証跡隠滅のため自身をディスクから削除

【まとめ】 Laravel開発者は直ちに使用パッケージを確認し、影響を受けたバージョンの削除とクレデンシャルの更新を実施する必要があります。Aikidoユーザーは管理画面でmalware検出を確認し、手動再スキャンの実行が推奨されます。