北朝鮮系ハッカーがAxiosのnpmパッケージを汚染させサプライチェーン攻撃を実行|セキュリティニュースのセキュリティ対策Lab

Q: どのバージョンのaxiosが悪意のあるマルウェアを含んでいますか？

悪意のあるコードが含まれているのは、axios@1.14.1 および axios@0.30.4 です。また、これらのバージョンはバックドアを仕掛けるための偽の依存パッケージとして plain-crypto-js@4.2.1 を不正にダウンロードします。

セキュリティニュース

投稿日時: 2026年04月02日更新日時: 2026年04月06日

北朝鮮系ハッカーがAxiosのnpmパッケージを汚染させサプライチェーン攻撃を実行

世界中のWeb開発で事実上の標準となっているJavaScriptのHTTPクライアントライブラリ「axios」のnpmパッケージが改ざんされ、悪意のあるコードを含んだ状態で公開されるという重大なソフトウェアサプライチェーン攻撃が発生しました。

2026年3月31日、Google Threat Intelligence Group（GTIG）は、この攻撃が北朝鮮を拠点とする金銭目的の脅威アクター「UNC1069」による犯行であるとする詳細な脅威分析レポートを公開しました。

本記事では、Googleのレポートに基づき、攻撃グループの背景、OSごとのマルウェアの挙動、そしてバックドア（WAVESHAPER.V2）の恐るべき機能と、企業が直ちに行うべきインシデント対応について詳しく解説します。

【30秒でわかる本記事の概要】

2026年3月31日、Axiosパッケージ（バージョン 1.14.1 および 0.30.4）に悪意のある依存関係 plain-crypto-js が混入された。
攻撃者はメンテナのアカウントを乗っ取り、通常の npm install の流れに悪意あるコードの実行を組み込んだ。
ターゲットのOS（Windows、macOS、Linux）を自動判別し、フル機能の遠隔操作バックドア「WAVESHAPER.V2」を展開する。
この攻撃は、北朝鮮の脅威アクター「UNC1069」によるものと特定されており、開発者端末やCI/CD環境からの機密情報窃取が狙いとみられる。

1 攻撃の巧妙な手口：公開権限の乗っ取りと偽装パッケージ
- 1.1 メンテナーアカウントの侵害
- 1.2 偽の依存関係「plain-crypto-js」とpostinstallの悪用
2 OS別のマルウェア挙動と自己隠蔽（SILKBELL）
- 2.1 OSごとの緻密な感染プロセス
- 2.2 痕跡を消し去る「自己クリーンアップ」機能
3 恐怖のバックドア「WAVESHAPER.V2」
4 攻撃アクター「UNC1069」への帰属理由
5 北朝鮮の脅威アクター「UNC1069」とは何者か？
6 UNC1069の恐るべき最新戦術：AIと「ClickFix」の悪用
7 企業・開発部門が直ちに行うべきインシデント対応
- 7.1 ロックファイルの監査とバージョンのピン留め
- 7.2 侵害を前提としたクレデンシャルのローテーションと環境の隔離
8 まとめ
9 よくある質問（FAQ）

攻撃の巧妙な手口：公開権限の乗っ取りと偽装パッケージ

本件の本質は、ソフトウェア自体の脆弱性を突いたものではなく、正規パッケージの「公開権限」を乗っ取ったサプライチェーン攻撃である点にあります。

メンテナーアカウントの侵害

GTIGの報告によると、2026年3月31日の00:21から03:20（UTC）にかけて、攻撃者はaxiosパッケージに紐づくメンテナーアカウントを侵害しました。関連するメールアドレスを攻撃者管理の [email protected] に変更したうえで、不正なaxiosリリースを公開しました。

偽の依存関係「plain-crypto-js」とpostinstallの悪用

驚くべきことに、axios自体のソースコードには悪意のあるコードは含まれていません。その代わり、悪意版リリースには [email protected] が依存関係として追加されていました。この偽パッケージの package.json には postinstall フックが含まれており、利用者が npm install を実行すると、裏側で自動的にマルウェアドロッパーである setup.js が実行される仕組みになっていました。

OS別のマルウェア挙動と自己隠蔽（SILKBELL）

ドロッパーの中核コンポーネントであり、Googleが「SILKBELL」として追跡している setup.js は、実行されたOSを動的に判定し、それぞれ異なる手法でペイロードを取得・展開します。

OSごとの緻密な感染プロセス

Windows環境: 正規の powershell.exe を %PROGRAMDATA%\wt.exe にコピーして偽装します。その後、curl によりPowerShellスクリプトをダウンロードし、隠し実行と実行ポリシー回避オプション付きで起動します。
macOS環境: bash と curl を用いて、ネイティブのMach-Oバイナリを /Library/Caches/com.apple.act.mond にダウンロードし、実行権限を付与してバックグラウンドで起動します。
Linux環境: Python製のバックドアを /tmp/ld.py にダウンロードし配置します。

痕跡を消し去る「自己クリーンアップ」機能

インストール後、setup.js は自身のファイルを削除し、改ざんした package.json を元のファイルへ戻すことで、攻撃の痕跡を消し去る自己クリーンアップ機能を持っています。これにより、事後に node_modules フォルダを目視で検査しても異常を発見することは困難です。

恐怖のバックドア「WAVESHAPER.V2」

上記のプロセスを経て最終的に展開されるのは、「WAVESHAPER.V2」と呼ばれる高機能な遠隔操作トロイの木馬（RAT）です。

このマルウェアは60秒間隔でC2サーバーへビーコンを送信します。通信を偽装するため、古いInternet Explorerのユーザーエージェント（mozilla/4.0 (compatible; msie 8.0; windows nt 5.1; trident/4.0)）を意図的に使用しています。

WAVESHAPER.V2は、侵入後の横展開の足がかりとなるフル機能の遠隔操作基盤であり、以下のコマンドをサポートしています。

偵察: ホスト名、ユーザー名、OSバージョン、起動時刻、実行中のプロセス一覧などのシステム情報を抽出します。
ファイルシステム列挙 (rundir): 指定されたディレクトリ内のファイルパス、サイズ、作成・変更日時をリスト化します。
コマンド実行 (runscript / peinject): メモリ内でのPEインジェクションや、PowerShell・シェルコマンド、AppleScriptを使用した任意のペイロード実行を行います。

Windows版では、Runレジストリを使用してログオン時に自動起動する永続化メカニズムも実装されています。

攻撃アクター「UNC1069」への帰属理由

Googleは、この攻撃を少なくとも2018年から活動している金銭目的の北朝鮮系アクター「UNC1069」に帰属させています。その主な根拠は以下の通りです。

インフラの重複: C2ドメイン sfrclak[.]com および解決先IP 142.11.206.73 への接続が、過去にUNC1069が使用していたVPNノードと一致しました。
マルウェアの系譜: 今回展開されたWAVESHAPER.V2は、以前同アクターに帰属したWAVESHAPERの直接的な発展版です。コマンドライン引数でC2 URLを受け取る設計、60秒周期のポーリング、珍しいUser-Agent、同一の一時保存先パスなど、多数の技術的共通点が確認されています。

北朝鮮の脅威アクター「UNC1069」とは何者か？

Googleは、この攻撃を少なくとも2018年から活動している北朝鮮系アクター「UNC1069」に帰属させています。

UNC1069は金銭的動機に基づいて行動しており、2023年以降は特にWeb3業界（暗号資産取引所、DeFi、ベンチャーキャピタル、その関連のソフトウェア開発者など）を執拗に狙うようになっています。

UNC1069の恐るべき最新戦術：AIと「ClickFix」の悪用

今回のAxios乗っ取り（サプライチェーン攻撃）だけでなく、UNC1069は極めて高度な「ソーシャルエンジニアリング」を駆使してターゲット企業に侵入することで知られています。

Google（Mandiant）の過去の調査では、以下のような手口が確認されています。

ディープフェイクと偽のZoom会議: 攻撃者は乗っ取ったTelegramアカウントを通じてターゲット（仮想通貨企業の社員など）に接触し、関係構築後に偽のZoomミーティング（zoom[.]uswe05[.]us など）へ誘導します。会議中には、他社のCEOを模したAI生成のディープフェイク動画を表示させ、ターゲットを信用させます。
「ClickFix」攻撃への誘導: 会議中にわざと「音声トラブル」を装い、ターゲットに対して「このコマンドを実行してオーディオの問題を修正してほしい」と指示します。この「トラブルシューティングのコマンド」の中に悪意のあるコードを忍ばせ、自らマルウェア（WAVESHAPERなど）をインストールさせるという手口です。

このように、UNC1069はAIツール（Geminiなど）を用いて作戦の精度を高め、単一のホストに対して「DEEPBREATH」や「CHROMEPUSH」といった多数のマルウェア（認証情報やブラウザデータの窃取用）を一気に送り込むなど、執念深い攻撃能力を持っています。

今回のAxiosの乗っ取りも、Web3関連の開発プロジェクトが広くAxiosを利用していることに目をつけ、より広範なターゲットを一網打尽にするための戦略である可能性が高いと考えられます。

企業・開発部門が直ちに行うべきインシデント対応

Axiosは通常版でも週あたり1億回超、旧系統でも8300万回超のダウンロードがある、極めて広範な利用基盤を持つライブラリです。影響範囲はアプリ本番環境に限らず、開発者端末、ビルドサーバー、CI/CDランナーなど npm install を実行したあらゆる環境に及びます。

ロックファイルの監査とバージョンのピン留め

node_modules の直接確認は隠蔽工作により見逃す恐れがあるため、必ずプロジェクトの package-lock.json、yarn.lock、pnpm-lock.yaml などを検索し、[email protected]、[email protected]、または [email protected]（および 4.2.0）が含まれていないかを確認してください。安全なバージョン（1.14.0 以前、または 0.30.3 以前）へ厳格にピン留めすることが推奨されます。

侵害を前提としたクレデンシャルのローテーションと環境の隔離

該当バージョンが見つかった場合、そのホスト環境はすでに侵害済み（バックドアが仕掛けられている状態）とみなす必要があります。

対象の端末やサーバーをネットワークから即座に隔離し、既知の正常状態へ戻してください。
そのマシン上に存在したすべての環境変数、ローカルファイルに保存されていた認証情報（APIキー、AWS認証情報、ソースコード管理トークン、署名鍵など）を無効化し、直ちに再発行（ローテーション）を実施してください。
sfrclak[.]com と 142.11.206.73 への通信遮断を設定し、EDR等で不審なプロセスの監視を行ってください。

まとめ

今回のAxios事案は、人気OSSパッケージの公開権限乗っ取りを通じて、開発者環境やCI/CDへマルウェアを配布する典型的なサプライチェーン攻撃です。最近はUNC1069だけでなく、別アクター（UNC6780 TeamPCPなど）もオープンソースのサプライチェーン全体を連続的に狙っているとGoogleは警告しています。

情報システム部門や開発チームは、単に安全版へ戻すだけで終わらせず、社内npmリポジトリの制御、依存関係の厳格な管理、シークレット分離、開発環境のサンドボックス化まで含め、オープンソース利用の前提を根本から見直す必要があります。

よくある質問（FAQ）

Q. どのバージョンのaxiosが悪意のあるマルウェアを含んでいますか？ A. 悪意のあるコードが含まれているのは、[email protected] および [email protected] です。また、これらのバージョンはバックドアを仕掛けるための偽の依存パッケージとして [email protected] を不正にダウンロードします。

Q. axios本体のソースコードにウイルスが書き込まれたのですか？ A. いいえ、axios本体のソースコード自体に悪意のあるコードは1行も記述されていません。攻撃者はaxios本体を改ざんするのではなく、インストール時に自動でマルウェアを呼び出す「偽の依存パッケージ」を注入するという、極めて巧妙な手口を使用しました。

Q. 開発環境が侵害されたかどうかを確認するにはどうすればよいですか？ A. 攻撃者はインストール後に不正な痕跡（不正なファイルや記述）を自動で消去し、クリーンな状態に偽装する自己クリーンアップの仕組みを持っています。そのため、node_modules フォルダを目視で確認してはいけません。必ずプロジェクトのロックファイル（package-lock.json、yarn.lock、pnpm-lock.yaml など）を文字列検索し、該当バージョンが含まれていないかを確認してください。

Q. 該当するバージョンをインストールしてしまっていた場合、どう対応すべきですか？ A. すでにバックドア（WAVESHAPER.V2 RAT）が仕掛けられ、外部の攻撃者と通信している前提で直ちに行動してください。対象の端末やサーバーをネットワークから即座に隔離し、ローカル環境や環境変数に保存されていた認証情報（APIキー、AWS認証情報、ソースコード管理トークンなど）の無効化と再発行（ローテーション）を最優先で行う必要があります。

出典

North Korea-Nexus Threat Actor Compromises Widely Used Axios NPM Package in Supply Chain Attack