「Discord」攻撃から見える、「公開リポジトリ」が狙われやすくなった理由「Discord」を襲う脅威【後編】

「Discord」ユーザーを狙うマルウェアが見つかったことに際して、セキュリティ専門家はオープンソースソフトウェアのリポジトリを悪用する攻撃への注意を促している。その背景は。

2022年02月01日 08時15分 公開
[Alexander CulafiTechTarget]

関連キーワード

セキュリティ | マルウェア


 DevOps(開発と運用の統合)ツールベンダーJFrogは、ゲーマー向けボイスチャットツール「Discord」のユーザーを狙う17個の悪質なパッケージ(拡張機能群)を発見した。これらのパッケージは、「Node.js」用のパッケージ管理ツール「npm」のリポジトリ(保管場所)に存在していた。Node.jsは「JavaScript」のサーバサイド実行環境であり、オープンソースソフトウェアだ。Discordの運営元であるDiscord社をはじめ、さまざまな大企業が使っている。

なぜ公開リポジトリが“狙い目”なのか

 JFrogのセキュリティ研究者アンドレー・ポルコフニチェンコ氏とシャシャー・メナシュ氏は、攻撃者がリポジトリでマルウェアをホストするのは「現在のトレンドだ」と警告する。両氏は同社公式ブログのエントリ(記事)で以下のように解説する。

会員登録(無料)が必要です

最近の攻撃者は、オープンソースソフトウェア用の公開リポジトリでマルウェアをホストして配布しています。公開リポジトリは、マルウェアを配布するための便利なツールになりつつあります。マルウェア対策ソフトウェアやファイアウォールは、リポジトリを運用するサーバを「信頼できるサーバ」だと見なし、そうしたサーバとの通信を検査対象外にする場合があるからです。タスク自動化ツールの普及で、公開リポジトリにあるパッケージを簡単にインストールできるようになったことも、格好の攻撃対象を生む要因だと言えます

 2021年11月に公開したエントリでも、JFrogはリポジトリでホストされる別のマルウェアの例を取り上げた。それは、プログラミング言語「Python」用のリポジトリ「Python Package Index」(PyPI)を悪用するものだ。このマルウェアはPyPIとの通信を偽装する。メナシュ氏は、ソースコード共有サービス「GitHub」が2021年11月、npmにある人気パッケージを使用するアカウントに2要素認証を要求するよう決定したことにも触れ、npm利用時のセキュリティの重要性を強調する。

 Discord社の広報担当者は、同社のセキュリティへの取り組み方針を次のように説明する。

Discordのセキュリティ確保はわれわれの優先事項です。Discordユーザーに影響が及ぶ前に検出するために、われわれは先回りしたスキャンと、外部からの報告を組み合わせて活用しています。攻撃のためにDiscordを悪用する攻撃者を見つけ出し、一掃しようと積極的に取り組んでいます。そうした事例や悪質な行為を見つけたら、攻撃に関わるコンテンツを削除し、攻撃者に適切な措置を講じます

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

新着ホワイトペーパー

製品資料 株式会社AGEST

経営上のリスクに備える、脆弱性診断の目的や実践方法

サイバー攻撃による被害は、金銭的な損失だけでなく、信用の失墜や業務継続への支障といった経営上のリスクに直結する。このようなリスクへの備えとして有効なのが、「脆弱性診断」だ。脆弱性診断の目的や実践方法について解説する。

製品資料 東京エレクトロン デバイス株式会社

高度なエンドポイントセキュリティを実現、EDRの課題を解消するアプローチとは

昨今、組織のネットワーク外に分散したエンドポイントが、攻撃者にとって格好の標的になっている。このような中でエンドポイント保護の新たな形として期待を寄せられているのがEDRだ。しかし、運用が難しいなどの課題も多い。

製品資料 東京エレクトロン デバイス株式会社

セキュリティ最適化の鍵が「エンドポイント」と「認証情報」の保護である理由

サイバー攻撃が激化する中、防御側は限られたリソースで対策することに苦慮している。こうした状況において組織が優先すべきは、エンドポイントと認証情報の保護であり、これらの有効な防御手段として注目されているのが、XDRとITDRだ。

製品資料 LRM株式会社

セキュリティ教育の“目標設定/運用/教育頻度”の課題を一掃する方法とは?

昨今、セキュリティ教育の重要性が高まっている。しかし、効果を正確に測ることが難しく、目標設定や運用に悩むケースも少なくない。本資料では、担当者の負担を軽減しながら、このような問題を解消する方法を紹介する。

製品資料 LRM株式会社

マンネリ化しやすく効果測定も難しいセキュリティ教育、どうすれば改善できる?

情報セキュリティ対策では、従業員の意識を高めるための“教育”が重要となる。しかしセキュリティ教育は、効果の測定が難しく、マンネリ化もしやすいなど課題が多い。効果的なセキュリティ教育を、負荷を抑えて実現するには何が必要か。

アイティメディアからのお知らせ

From Informa TechTarget

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ
ネットワークの問題は「帯域幅を増やせば解決する」と考えてはいないだろうか。こうした誤解をしているIT担当者は珍しくない。ネットワークを快適に利用するために、持つべき視点とは。

ITmedia マーケティング新着記事

news017.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。

news027.png

「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...