TeamPCPによるPyPI上のtelnyxパッケージ侵害

【なぜ重要か】 セキュリティツールの認証情報を盗んで信頼されたパッケージを侵害し、次の環境に拡散する手法で、日本でも広く使われるPyPIエコシステムが標的となっています。月間74万ダウンロードのtelnyxパッケージが侵害され、インポートするだけでマルウェアが実行される状況です。

【ポイント】

• TeamPCPによる2週間に渡るサプライチェーン攻撃の一環で、Trivy、Checkmarx、LiteLLMに続きtelnyxが侵害
• マルウェアはimport時に自動実行され、Windows版は起動フォルダに永続化、Linux/Mac版は情報窃取を実行
• WAVオーディオファイルに偽装した新手法で、有効な音声ファイルの音声フレームデータ内にXOR暗号化されたペイロードを隠蔽
• 窃取されたデータはAES-256-CBCで暗号化され、攻撃者のRSA-4096公開鍵でラップされたセッションキーで保護
• 侵害されたバージョンはtelnyx 4.87.1と4.87.2で、PyPI上で数時間公開された

【まとめ】 telnyxパッケージを使用している場合は即座にバージョン4.87.0にダウングレードし、侵害されたバージョンをインストールした環境は全ての認証情報をローテーションする必要があります。