Generatived（Beta）｜生成AIの最新ニュースとトレンドを提供

Microsoft（米国ワシントン州レドモンド）は、企業の内部パッケージを装った悪性npmパッケージ群を確認したと発表した。攻撃者は依存関係の混乱を悪用し、開発環境へ不正コードを配布していたという。

同社によると、攻撃者は複数の管理者アカウントを用いて数十件のパッケージを公開し、企業向けGitHubやJiraを模した情報を登録して正規パッケージに見せかけていた。インストール時に自動実行される仕組みが組み込まれていたとされる。

配布されたコードは難読化されており、システム情報や環境変数、開発者環境に関する情報を収集する偵察機能を備えていたという。現時点では偵察目的に限定されているものの、将来的な追加攻撃を想定した設計だったとみられる。

Microsoftはnpm運営側への通報により対象パッケージとアカウントが削除されたと説明した。利用者に対し、影響パッケージの確認や認証情報の更新、インストールスクリプトの無効化などを推奨している。