CrowdStrike、Google、Shadowserver Foundationが、開発者を狙うマルウェア「GlassWorm」に関連するC2通信経路を同時に妨害したと報告されています。VS Code拡張機能、npm、Pythonパッケージなどが悪用され、認証情報やウォレット情報の窃取につながる可能性があるため、開発環境の防御が重要です。The Hacker News：GlassWorm Malware Takedown Disrupts Developer Supply Chain Attack Infrastructure
この記事のポイント
影響のあるシステム
- Visual Studio Codeを利用する開発環境
- Microsoft VS Code Marketplaceから拡張機能を導入している環境
- Open VSXから拡張機能を導入している環境
- Cursor、Positron、Windsurf、VSCodiumなど、VS Code派生エディタを利用する環境
- npmパッケージやPythonパッケージを利用する開発環境
- GitHub、npm、OpenVSXのトークンを開発端末やCI/CD環境で扱う組織
- ソースコードリポジトリ、クラウド環境、CI/CDパイプライン、パッケージレジストリへアクセスできる開発者端末
推奨される対策
- 導入済みのVS Code拡張機能、Open VSX拡張機能、npm・Pythonパッケージを棚卸しする
- 不要な拡張機能や出所不明なパッケージを削除する
- GitHub、npm、OpenVSXなどのアクセストークンを確認し、不要なトークンは失効する
- 開発者端末やCI/CD環境の認証情報に最小権限を適用する
- 拡張機能や依存パッケージの自動更新を含め、導入・更新時の審査ルールを整備する
- ブラウザデータ、クリップボード、スクリーンショット、キーストローク取得などの不審な挙動をEDRなどで監視する
- リポジトリやパッケージの不審な変更、意図しない公開、トークン利用履歴を確認する
上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。
この記事に出てくる専門用語
- GlassWorm：開発者を標的にしたソフトウェアサプライチェーン攻撃キャンペーンです。悪意ある拡張機能やパッケージを通じて認証情報などを狙うと報告されています。
- C2：Command and Controlの略です。攻撃者が感染端末へ命令を送るための管理・通信基盤を指します。
- VS Code Marketplace：Visual Studio Code向け拡張機能を配布する公式マーケットプレイスです。
- Open VSX：VS Code互換エディタ向けにも使われるオープンな拡張機能レジストリです。
- RAT：Remote Access Trojanの略です。感染端末を遠隔操作するために使われる不正プログラムを指します。
- WebRTC：ブラウザやアプリでリアルタイム通信を行うための技術です。攻撃では通信経路の確立などに悪用される可能性があります。
- SOCKSプロキシ：ネットワーク通信を中継する仕組みです。攻撃者が通信元を隠したり、内部ネットワークへの足場として使ったりする可能性があります。
- HVNC：Hidden VNCの略です。ユーザーに気づかれにくい形で画面操作や遠隔操作を行う仕組みを指します。
- Dead drop resolver：攻撃者のC2サーバー情報などを、別のサービスや仕組みを経由して取得する手法です。
- ソフトウェアサプライチェーン攻撃：開発ツール、ライブラリ、拡張機能、更新機構などを悪用し、利用者や下流組織へ影響を広げる攻撃です。
GlassWormは開発者の権限を狙う攻撃として報告されています
GlassWormは、少なくとも2025年初頭から開発者を標的にしてきたと報告されています。開発者は、ソースコードリポジトリ、クラウド環境、CI/CDパイプライン、パッケージレジストリなど、組織の中でも重要な権限を扱うことが多いため、攻撃者にとって非常に価値の高い標的になります。1台の開発端末が侵害されるだけでも、認証情報の窃取、リポジトリの改ざん、不正パッケージの公開、下流ユーザーへの影響拡大につながる可能性があります。元記事では、GlassWormがMicrosoft VS Code MarketplaceとOpen VSXに公開されたトロイの木馬化されたVS Code拡張機能を利用していたと説明されています。これにより、Visual Studio Codeだけでなく、Cursor、Positron、Windsurf、VSCodiumなど、VS Code派生エディタの利用者も標的になり得る構図が示されています。開発効率を高めるための拡張機能やパッケージは日常的に導入されますが、その利便性が攻撃経路に変わる可能性がある点を、企業は改めて認識する必要があります。
認証情報とウォレット情報の窃取が主な狙いとされています
GlassWormの攻撃では、悪意あるVS Code拡張機能だけでなく、侵害されたnpmパッケージやPythonパッケージを通じても不正コードが持ち込まれていたと報告されています。攻撃の目的は、認証情報の収集、暗号資産ウォレット情報の窃取、システム情報の収集などを行うデータ窃取フレームワークの展開にあるとされています。さらに、その後の亜種では、WebSocketベースのJavaScript RATであるGlassWormRATを展開し、Webブラウザのデータを盗み、任意のコードを実行する機能も確認されたとされています。元記事では、Google Chrome拡張機能をインストールし、感染したシステムからスクリーンショット、キーストローク、クリップボード内容などの機密データを収集する動きも説明されています。開発者端末には、GitHub、npm、OpenVSXのトークン、クラウド認証情報、リリース鍵、ウォレット、内部システムへのアクセス情報などが集まりやすい傾向があります。そのため、単なるマルウェア感染ではなく、開発基盤全体に波及するリスクとして扱うべき事案です。
感染端末が攻撃基盤として使われる可能性もあります
GlassWormの特徴として、感染した端末が単なる情報窃取の対象にとどまらず、攻撃者の隠れたインフラとして利用される可能性が指摘されています。元記事では、感染ホストがSOCKSプロキシ、HVNCサーバー、WebRTCやNode.jsプロセスを用いたリモート実行ノードに変換されると説明されています。これにより、攻撃者は企業ネットワークや個人ネットワークへ匿名化されたアクセスを得たり、さらなる攻撃を拡散するための足場を作ったりする可能性があります。特に開発者端末は、社内ネットワーク、クラウド管理画面、ソースコード管理サービス、パッケージ公開基盤など、複数の重要領域にアクセスできることがあります。したがって、端末上で不審なプロセスや通信が発生していても、通常の開発作業や拡張機能の動作に紛れて見逃されるおそれがあります。企業の防御では、端末単位の感染確認だけでなく、その端末がどのリポジトリやCI/CD環境へアクセスできたのか、どのトークンが利用可能だったのか、過去に不審なパッケージ公開やリポジトリ変更がなかったのかまで追跡することが重要です。
4つのC2経路を使い分ける耐障害性の高い設計
今回の妨害作戦で注目される点は、GlassWormが4つの異なるC2経路を利用していたと報告されていることです。具体的には、Solanaブロックチェーンのトランザクションメモ欄にC2サーバーアドレスを保存する方法、BitTorrentのDHTピアツーピアネットワークから設定情報を取得する方法、Google CalendarのイベントタイトルからC2サーバーアドレスを取得する方法、商用VPS事業者上に置かれたC2インフラへ直接接続する方法が挙げられています。ブロックチェーン、ピアツーピア、正規のWebサービス、商用インフラを組み合わせることで、単一の通信先を遮断しても攻撃が継続できるように設計されていた可能性があります。CrowdStrikeは、このような多層的な間接参照が、実際のC2サーバーを守る動的な前面として機能していたと説明しています。今回の取り組みでは、これら4つの経路が同時に無力化されたことで、感染端末が新しい命令やペイロードを受け取れなくなったとされています。防御側にとっては、既知の悪性ドメインだけをブロックする運用では不十分であり、正規サービスを悪用した通信や不自然な設定取得の挙動にも目を向ける必要があります。
300件超のGitHubリポジトリが汚染されたと報告
元記事では、GlassWormに関連する悪意ある活動により、盗まれた開発者認証情報を使って300件を超えるGitHubリポジトリが汚染されたと説明されています。これは、開発者の認証情報が盗まれた場合、個人端末の被害だけで終わらず、ソースコードや依存パッケージ、利用者組織へ連鎖的に影響する可能性があることを示しています。特に、人気のあるパッケージや拡張機能、社内で広く使われる共通ライブラリが改ざんされた場合、影響範囲は一気に広がるおそれがあります。CrowdStrikeは、GlassWormの運用者について、CIS諸国にあるシステム上ではマルウェアが実行を終了する点や、ロシア語のコメントが含まれている点などから、ロシアを拠点とするサイバー犯罪者である可能性が高いと見ていると報告されています。ただし、この記事では特定の国家機関や組織名までは断定されていません。日本企業にとって重要なのは、攻撃者の属性よりも、開発者の権限とソフトウェア流通経路が攻撃対象になっているという事実です。開発プロセスの信頼性を守るには、リポジトリの監査、署名、権限分離、トークン管理を継続的に確認することが欠かせません。
国内組織が直ちに確認すべき点
国内組織が今回の事例から優先して確認すべき点は、開発者端末、拡張機能、パッケージ、認証情報の管理状況です。まず、VS CodeやVS Code派生エディタに導入されている拡張機能を棚卸しし、Microsoft VS Code MarketplaceやOpen VSXから導入されたものの中に、不要なものや出所が不明確なものがないかを確認する必要があります。次に、npmやPythonの依存関係を確認し、開発端末やCI/CD環境で利用されるパッケージに不審な更新や意図しない追加がないかを確認します。さらに、GitHub、npm、OpenVSX、クラウドサービスのトークンは、利用目的ごとに最小権限化し、長期間使われていないものは失効することが望ましいです。リポジトリ側では、意図しないコミット、タグ、リリース、パッケージ公開がないかを確認し、必要に応じて監査ログを見直します。GlassWormのような攻撃は、開発者の利便性とソフトウェア配布の仕組みを悪用するため、セキュリティ部門だけでは対処しにくい面があります。開発部門、情シス、セキュリティ担当が共同で、拡張機能の導入基準、依存関係の審査、トークン管理、インシデント時の切り戻し手順を整備しておくことが現実的な対策になります。
参考文献・記事一覧
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
