TeamPCPがTrivy攻撃後にNPMでCanisterWormを展開

【なぜ重要か】 NPMパッケージを通じて拡散する新種のワーム「CanisterWorm」が発見され、日本の開発者が使用するNode.jsプロジェクトにも影響を与える可能性があります。このワームは自己増殖機能を持ち、開発者のマシンに永続的なバックドアを仕組むため、npm installの実行だけで感染リスクがあります。

【ポイント】

• 44のNPMパッケージが感染し、3段階アーキテクチャ（Node.jsローダー→Pythonバックドア→ICPベースのC2通信）を採用
• 盗んだNPMトークンを使用して60秒以内に28パッケージに拡散する自己増殖機能を実装
• systemdサービスとして永続化し、PostgreSQLツールに偽装してLinux環境で5分間の潜伏後に活動開始
• ICP（Internet Computer）キャニスターをC2サーバーとして利用し、分散型で検閲耐性の高い通信基盤を構築
• 被害者のマシンから.npmrcファイルを収集して認証トークンを窃取し、さらなる拡散を自動実行

【まとめ】 開発者は使用するNPMパッケージの信頼性を確認し、systemdサービスやPostgreSQL関連プロセス（pgmon、pglog等）の不審な活動を監視する必要があります。