【2026/06/01】Aikido Intel 日次 — 脆弱性 1件(symfony/security-http High)、malware 53件で @antoncallahan/aws-user-helper が14時間で18バージョン一括公開、Telenor Sweden ターゲット型 dependency confusion 新規観測

数字

項目	5/28	5/29	5/30	5/31	6/1
Critical	0	0	0	0	0
High	0	1	3	0	0
Medium	0	0	0	0	0
Low	0	0	0	0	0
Pre-CVE	0	1	3	0	0
Malware (24h, unique)	100+	75+	55+	33	53

Malware は Show More 完走で 53 unique (生イベント計69) 取得。脆弱性は 5/31 に 1件(High)。

新規観測 (事実のみ)

脆弱性

5/31 公開: symfony/security-http Incorrect Authorization (High, CVE-2026-48489, AIKIDO-2026-10998)
参考(5/29 公開分): i18next-fs-backend Prototype Pollution Critical (CVE-2026-48713), jsonata ReDoS High, @ai-sdk/provider-utils DoS Medium, @ai-sdk/mcp CSRF Medium

Malware

@antoncallahan/aws-user-helper 18バージョン一括公開 (1.0.0 / 1.0.1 / 1.0.2 / 1.0.3 / 1.0.4 / 1.0.5 / 1.0.6 / 1.0.7 / 1.0.8 / 1.0.9 / 1.10.1 / 1.12.1 / 1.12.3 / 1.12.4 / 1.12.6 / 1.12.8 / 1.12.9 / 1.13.0) — 14-15時間前にかけて連番公開、AWS IAM helper 装い。今週で最大規模の単一パッケージ malware
企業ターゲット型 v99.0.0 系 (9時間前):
- @tse-digital/core@99.0.0
- @telenor-se/core@99.0.0 — Telenor Sweden (北欧大手通信キャリア) 装い (新規)
- @ownit/core@99.0.0
- @customer-threesixty/assets@99.0.0 / 99.0.1 — Customer 360 系内部命名
- @challenger6/vm-pattern-library@99.0.0 (20時間前)
turbo-baileys@1.0.0 / 1.0.1 (8時間前) — 5/31 の @neodevxsadmd/baileys に続く WhatsApp Web API 装い
jarrxz-uploader 4版 (1.0.0 / 1.1.0 / 1.1.1 / 1.1.2 / 1.1.3) — 17時間前から連番、ファイルアップローダ装い
cscc-glass-house 4版 (1.0.1 / 1.0.2 / 1.0.3 / 1.0.4) — 21-22時間前
obfuscation@3.23.0 / 3.23.2 — 「難読化ツール」装い (2版)
@feng3d/webgpu@0.1.2 / 0.1.3 — WebGPU グラフィックス装い
btn-help@1.0.0 / 1.1.0, upupxx@3.0.6, hell-cipher@1.0.1, conversa-sdk@2.0.2 / 2.0.3
@app-tray-ui/stencil-component@10.1.0 — Stencil.js (Web Components 系) 装い
js-shared-modules@1.11.7 — 一般名すぎる典型 typosquat
discord-massban@0.1.0 — 5/31 の discord-ban の続報的命名
ap-up@1.0.0, aube-scripts@1.17.0, jingmeideshishi@1.0.4 (5/30 から継続)
netlify-cli@26.1.0 — Telemetry タグ (Aikido 独自分類、Netlify 公式 CLI 装いだが悪意コードではなく情報送信のみ)

注意点 (3つ)

@antoncallahan/aws-user-helper 18バージョン一括公開に最大の警戒 — AWS IAM/STS の user helper を装う単一パッケージが14-15時間で18版連続公開。AWS 認証情報・STS トークン窃取を狙う典型パターンで、aws-user-helper という汎用名は LLM/Cursor/Claude Code が AWS 関連の npm install を提案する際に hallucination で混入しやすい。直近24時間で AWS 関連の npm install をした端末がある場合、IAM credentials のローテーションを検討
Telenor / TSE Digital など北欧・欧州企業の社内スコープ装いが拡大中 — 5/26 の Apple/NBA、5/27 の Goldman Sachs、5/28 の Redux saga 大量、5/30 の EPAM/Megamarket.ru に続き、本日は Telenor Sweden 装い。この攻撃グループは欧米・アジアの主要企業の社内 npm scope を順次標的化している可能性が高い。日本企業も標的に入る前提で、自社の社内 npm scope の命名を再点検 (公開命名と紛らわしくないか)
WhatsApp Web API ライブラリ標的の継続 (turbo-baileys) — 5/31 の @neodevxsadmd/baileys に続いて本日 turbo-baileys が出現。WhatsApp bot 開発は本物の @whiskeysockets/baileys 以外は全て偽物 と再徹底。Baileys 系の偽パッケージは複数攻撃グループから継続して出るキャンペーンに入っている

連続性メモ

2026/05/26: 脆弱性 0、malware 100+ (Apple/NBA/WalkMe/UiPath/Apollo/Vercel tempo)
2026/05/27: Pre-CVE 3件 (hutool RCE×2 + @sentry/cli)、malware 46件 (@gs-select)
2026/05/28: 脆弱性 0、malware 100+ (@service-suppliers Redux saga 36件、@sentry-sdk/profiler 便乗)
2026/05/29: Pre-CVE High 1件 (json Buffer Overflow)、malware 75+ (OpenSearch/Elastic 41件)
2026/05/30: Pre-CVE High 3件 (@workos-inc/node 署名検証、@ai-sdk/provider-utils、@livekit/protocol)、malware 55+ (captura-* Native binary 6件)
2026/05/31: 脆弱性 0、malware 33件 (5月後半で最少、@neodevxsadmd/baileys WhatsApp 装い5版)
2026/06/01: 脆弱性 0 (2日連続)、malware 53件 (@antoncallahan/aws-user-helper 18版一括公開で今週最大、Telenor/TSE Digital など北欧企業ターゲット拡大、turbo-baileys で WhatsApp 装い継続)