悪意のあるPackagist PHPパッケージ
サイバーセキュリティアナリストは、Packagist上で悪意のあるPHPパッケージを特定しました。これらのパッケージは、正規のLaravelヘルパーライブラリを偽装しながら、クロスプラットフォームのリモートアクセス型トロイの木馬（RAT）を密かに展開します。このマルウェアはWindows、macOS、Linux環境でシームレスに動作し、影響を受けるシステムに重大なリスクをもたらします。
特定されたパッケージには次のものが含まれます。
- nhattuanbl/lara-helper (37 ダウンロード)
- nhattuanbl/simple-queue (ダウンロード数 29)
- nhattuanbl/lara-swagger (49 ダウンロード)
nhattuanbl/lara-swagger には直接悪意のあるコードは含まれていませんが、Composer の依存関係として nhattuanbl/lara-helper がリストされているため、埋め込まれた RAT がインストールされます。公開されているにもかかわらず、これらのパッケージはリポジトリ内でアクセス可能なままであり、影響を受ける環境から直ちに削除する必要があります。
目次
難読化戦術は悪意を隠す
詳細なコード分析の結果、lara-helperとsimple-queueの両方に、検出を回避するために設計されたsrc/helper.phpというファイルが含まれていることが判明しました。このマルウェアは、制御フローの操作、暗号化されたドメイン名とコマンド文字列、隠蔽されたファイルパス、ランダム化された変数および関数識別子など、高度な難読化戦略を採用しています。
これらの手法により、静的分析が大幅に複雑化し、悪意のあるペイロードが従来のコードレビューや自動セキュリティスキャンツールを回避するのに役立ちます。
コマンドアンドコントロールインフラストラクチャにより完全なホスト乗っ取りが可能
RATが実行されると、helper.leuleu.netのポート2096にあるコマンドアンドコントロール（C2）サーバーへの接続を確立します。システム偵察データを送信し、永続的なリスニング状態に入り、さらなる指示を待ちます。通信はPHPのstream_socket_client()関数を使用してTCP経由で行われます。
バックドアは、オペレータが発行する幅広いコマンドをサポートし、システムを完全に制御できます。機能には以下が含まれます。
- 60 秒ごとに ping 経由でハートビート信号を自動的に送信します。
- info を通じてシステム プロファイリング データを送信します。
- シェル コマンドの実行 (cmd)。
- PowerShell コマンド実行 (powershell)。
- バックグラウンド コマンド実行 (run)。
信頼性を最大限に高めるため、RATはPHPのdisable_functions設定をチェックし、popen、proc_open、exec、shell_exec、system、passthruの中から利用可能な最初の実行方法を選択します。この適応型アプローチにより、RATは一般的なPHPの強化対策を回避できます。
持続的な再接続メカニズムはリスクを増大させる
特定されたC2サーバーは現在応答していませんが、マルウェアは15秒ごとに接続を再試行するようにプログラムされており、このループを継続的に実行します。この永続化メカニズムにより、攻撃者がサーバーの可用性を回復した場合でも、侵害されたシステムは無防備な状態のままとなります。
lara-helper または simple-queue をインストールした Laravel アプリケーションは、実質的に埋め込み型 RAT によって動作します。脅威アクターは、完全なリモートシェルアクセス、任意のファイルの読み取りと変更、そして感染した各ホストのシステムレベルの詳細を継続的に可視化できるようになります。
実行コンテキストが影響を増幅する
アクティベーションは、サービスプロバイダー経由、またはシンプルキューの場合はクラスのオートロードを通じて、アプリケーションの起動時に自動的に行われます。その結果、RATはWebアプリケーションと同じプロセス内で実行され、同一のファイルシステム権限と環境変数を継承します。
この実行コンテキストにより、攻撃者はデータベースの認証情報、APIキー、.envファイルの内容といった機密資産へのアクセスが可能になります。そのため、侵害はシステムレベルの制御にとどまらず、アプリケーションの機密情報やインフラストラクチャへのアクセスが完全に漏洩する事態にまで及ぶ可能性があります。
クリーンパッケージによる信頼性構築戦略
さらに調査を進めると、同じパブリッシャーが、悪意のあるコードを含まないnhattuanbl/lara-media、nhattuanbl/snooze、nhattuanbl/syslogという追加パッケージをリリースしていたことが判明しました。これらは、信頼を高め、武器化されたパッケージの採用を促すことを目的とした、評判を高めるためのアーティファクトとして機能しているようです。
即時の緩和と対応策
悪意のあるパッケージをインストールした組織は、侵害が発生したと想定する必要があります。必要な対応措置としては、影響を受けるライブラリの即時削除、アプリケーション環境からアクセス可能なすべての認証情報のローテーション、特定されたC2インフラストラクチャへの接続試行に関する送信ネットワークトラフィックの徹底的な監査などが挙げられます。
断固たる対応を怠ると、コマンドアンドコントロールインフラストラクチャが再び稼働した場合に、システムが新たな攻撃者のアクセスに対して脆弱になる可能性があります。
