CDNホストで拡散している事を指摘しました。悪用する亜種を発見しました。か月にわたって数十のパッケージで侵害されたバージョンが公開されていました。インスタンスを発見しました。オンラインで詐欺広告が表示されるjQueryのサプライチェーン攻撃は高い可変性が特徴この攻撃はパッケージ間の高い可変性が特徴です。他にもregistration.min.js、icon.min.js、fontawesome.jsなどのバリエーションが含まれていました。データを送信するURLはパッケージごとにほぼユニークで、攻撃者は新しいユーザー名を使ってnpmに公開していました。単一のユーザーが複数の関連するパッケージを公開することもありましたし、プロジェクト内で異なる名前の複数のファイルバージョンを含むこともありました。興味深いことに、ほとんどのパッケージにはnpmキャッシュフォルダー、npmログフォルダー、termux.propertiesファイルなど、npm公開には通常含まれない個人的なファイルも含まれていました。全体として、この攻撃は通常我々が見る規模のものとは異なり、明確なパターンや自動化された側面が見られません。ここでは、パッケージのアドホックな性質とカスタムの可変性、そして長期間にわたる公開が、各パッケージが手動で組み立てられ公開されたことを示唆しています。それは、jQueryプロトタイプの一部であるend関数が、追加の悪意のあるコードを含むように修正されていることです。});}jQueryのドキュメントによると、このendメソッドは現在のチェーン内の最新のフィルタリング操作を終了し、一致した要素のセットを以前の状態に戻すと記載されています。上記の通りendメソッドは単に前のオブジェクトを返します。悪意のあるコードでは、攻撃者は$.ajaxを介してリモートURLへの非ブロッキングGETリクエストを発行しています。URLには、パッケージごとに異なるクエリパラメータ(ここでは$(“form”).serialize()によってページ上のすべてのフォームデータをシリアライズして生成)が含まれます。シリアライズされたデータは16進文字列にエンコードされます。このトロイの木馬化されたバージョンを使用すると、end関数が呼び出されるたびに、ページ上のすべてのフォームデータが外部に送信されます。調査によると、end関数は直接広く使用されていないようです。fadeToメソッドがendメソッドを利用しているしかし、jQueryライブラリの他の部分を見てみると、jQueryのアニメーションツールキットのfadeToメソッドがendメソッドを使用していることがわかります。fadeToはendよりも広く使用されています。r);}indexscというユーザーがトロイの木馬化されたjQueryファイルをホストGitHubでindexscというユーザーがトロイの木馬化されたjQueryファイルの複数のバージョンをホストしていることも判明しました。画像引用:Phylumajaxリポジトリにトロイの木馬化されたjQueryを発見indexscのajaxリポジトリを見てみると、slim.jsとall-min.jsの両方にトロイの木馬化されたバージョンが含まれていました。画像引用:Phylum興味深いことに、icons.jsとmin.jsの両方に、リモートソースから新しいスクリプトタグを追加するスクリプトが含まれています。}();上記スクリプトも疑わしいものです。月にリリースされたからです。月にリリースされました。https://cdn[.]jsdelivr[.]net/gh/indexsc/libs/slim.jsに設定します。これも非常に疑わしいもので、当然のことながら、そこへ移動すると、これもトロイの木馬化されたバージョンであることがわかります。URLを自動的に生成し、CDNに明示的にアップロードする必要がないことに注意が必要です。これは、おそらく攻撃者がソースをより合法的に見せるか、GitHub自体からコードを直接読み込む代わりにjsdelivrを使用してファイアウォールを通過させようとする試みです。fadeTo関数のいずれかを呼び出す必要があると指摘しました。特定の条件が複数あるため、高度に標的を絞った攻撃なのか、攻撃者が広範囲にのユーザーにランダムに影響を与えたいのか意図は不明です。パッケージの数の多さ、命名規則の多様性、パッケージ内に個人ファイルが含まれていることなどから、攻撃者の能力と意図について疑問が生じており、これらの要素は、実際のマルウェア自体の洗練された性質や、その悪意を明白に隠すための努力とは対照的です。チェーンの脅威アクターの複雑さと範囲の広さが増していることを示す好例だと述べています。Awesomeが含まれています。北朝鮮の関与が指摘されたアニメ「魔導具師ダリヤはうつむかない」が2024年7月に無事放映されました。インテリア製品を販売する住江織物株式会社がアメリカ、メキシコの各子会社がサイバー攻撃の被害にあった事を公表しました。