ラザルス・グループがnpmでブランドジャッキング攻撃-「buffer-utilities」など数十件の悪意あるパッケージでNode.jsへバックドアを設置|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年06月08日更新日時: 2026年06月08日

2026年6月3日、ソフトウェアサプライチェーンセキュリティ企業のSonatype Security Research Teamは、北朝鮮の国家支援を受けた脅威アクター「ラザルス・グループ（Lazarus Group）」がnpm（Node Package Manager）レジストリに数十件の悪意あるパッケージを公開し、開発者の環境への侵入を試みていると公式ブログで報告しました。最大のリスクは手口の巧妙さにあります。

従来のタイポスクワッティング（綴りミスを狙った偽パッケージ）とは異なり、今回の攻撃は「ブランドジャッキング（brandjacking）」と呼ばれる手法を採用しています。buffer-utilities・chai-as-patch・react-next-dom・webpack-patch・jwt-path・express-denvといったパッケージ名は、開発者が日常的に使用するBuffer・Chai・React・Webpack・JWT・Expressといった正規の信頼されたライブラリの「拡張版」「ユーティリティ」「パッチ版」を装って設計されており、命名だけでは悪意あるものとすぐに見抜くことが困難です。

Sonatypeが詳細分析したbuffer-utilities（version 1.0.0）は、正規のbufferパッケージのコードを内包しながらドロッパーとして機能し、Node.jsバックドアをC2サーバーから取得・実行して、ユーザーのホームディレクトリに隠し.vscodeディレクトリを作成します。本記事ではブランドジャッキングの仕組み・攻撃の技術詳細・侵害指標（IOC）・開発者・情報システム担当者が今すぐ取るべき対応を解説します。

サマリー

2026年6月3日、Sonatype Security Research Teamが公式ブログでラザルス・グループのnpmブランドジャッキングキャンペーンを報告。Sonatype識別子：sonatype-2026-003558
npmに数十件の悪意あるパッケージを公開。一部は週最大500ダウンロードを記録してから検出・削除された
標的パッケージ名（ブランドジャッキング対象）：Buffer・Chai・React・Express・Webpack・JWT・node-background-invokerなどの信頼された正規ライブラリ
手口の種類：サフィックス追加（buffer-utilities・chai-as-patch等）・タイポスクワット（midcore・midcorp）・バージョン模倣（node-background-invoker-v2）の3種を組み合わせ
buffer-utilities（1.0.0）の動作：正規コードに偽装しながらドロッパーとして機能。C2に接続しNode.jsバックドアをダウンロード→.vscode隠しフォルダ作成→f.js（第3ステージ）実行→更新機構で持続的バックドアを維持
侵害指標（IOC）：C2サーバー45.59.163.198:1244・外部通信先www.jsonkeeper.com・ホームディレクトリの予期しない.vscodeフォルダ・異常なNode.jsプロセス
対処：対象パッケージを削除した上で、第2ステージが実行済みの場合は削除だけでは不十分。侵害されたシステムとして調査が必要

1 ブランドジャッキングとは何か——タイポスクワットから進化した攻撃手法
2 buffer-utilitiesの技術的詳細——正規コードに隠れた3段階の攻撃チェーン
3 侵害指標（IOC）一覧——今すぐ確認すべきログと痕跡
4 開発者・情報システム担当者が今すぐ取るべき対応
5 ラザルス・グループとnpmへの継続的な攻撃——日本企業にとっての文脈
6 FAQ
7 参考情報

ブランドジャッキングとは何か——タイポスクワットから進化した攻撃手法

npm・PyPI・MavenなどのOSSパッケージレジストリを標的にしたサプライチェーン攻撃において最もよく知られた手法が「タイポスクワット（typosquatting）」です。requestではなくrequetsという綴りミスを利用したパッケージのように、正規のパッケージ名を1文字ミスタイプした際に悪意あるパッケージをインストールさせる手法です。

今回ラザルス・グループが採用した「ブランドジャッキング」はその進化版です。Sonatypeの調査によれば、ブランドジャッキングパッケージのうち**綴りミスに依存するものはわずか9%**にすぎません。残りの91%は、今回の事案のように「正規パッケージの拡張版・ユーティリティ・パッチ・後継版のように見えるパッケージ名を命名する」という手法を用いています。

今回確認された手法は以下の3種類です。

サフィックス追加（Suffix Addition）：正規パッケージ名に機能を連想させる語尾を付加します。buffer + utilities = buffer-utilities、chai + as-patch = chai-as-patch、webpack + patch = webpack-patchという具合です。開発者の目には「bufferのユーティリティ機能を追加したヘルパー」や「chaiのパッチ版」に見えます。

タイポスクワット（Typosquat）：midcore・midcorpなど、正規の組織名や有名パッケージに視覚的に類似した名称を使用します。

バージョン模倣（Version Mimicry）：node-background-invoker-v2（バージョン1.0.1〜1.0.6）のように、正規の公式後継バージョンや管理されたリリースを装う命名をします。

Sonatypeが強調するのは「悪意あるパッケージが正規パッケージに見える必要はない。正規パッケージの近くに自然に存在するものに見えればよい」という点です。これが今回のキャンペーンがタイポスクワット対策だけでは防ぎきれない理由です。

buffer-utilitiesの技術的詳細——正規コードに隠れた3段階の攻撃チェーン

Sonatypeの詳細分析をもとに、buffer-utilities（version 1.0.0）の動作を整理します。

第1段階：正規コードによる偽装とドロッパー機能

buffer-utilitiesは正規のbufferパッケージのコードを実際に内包しており、通常の動作として機能します。これが「ブランドジャッキング」の巧妙さです——パッケージをインストールしてすぐには動作がおかしいと気づかない可能性があります。しかしパッケージ内には、Base64エンコードされたURLを格納する2つの定数が含まれており、これらはwww.jsonkeeper.com（ラザルス・グループが以前のキャンペーンでも継続的に使用してきたペイロードホスティングサービス）に保存されたペイロードを指しています。

第2段階：ホスト情報の収集とC2との通信

インストール後にトリガーされるセカンダリペイロードはNode.jsバックドア兼ダウンローダーです。次の情報を収集してC2インフラストラクチャにビーコン送信します：ホスト名・ユーザー名・オペレーティングシステム・ホームディレクトリ・プロセス引数。C2サーバーから設定データを受け取った後、テレメトリを攻撃者に報告します。

第3段階：隠し.vscodeディレクトリとf.jsの展開

バックドアはユーザーのホームディレクトリに隠しディレクトリ.vscodeを作成し、追加ファイルをダウンロードします：

f.js（第3ステージのJavaScriptペイロード）
package.json

マルウェアはnpm install --silentを実行して必要な依存関係をサイレントでインストールした後、f.jsをデタッチされたバックグラウンドプロセスとして起動します。これにより元のプロセスが終了した後も攻撃者がコントロールするコードが継続的に実行されます。

更新機構による持続的なバックドアの維持

さらに高度なのが更新機構です。マルウェアは定期的にC2サーバーに再接続し、新しいペイロードバージョンを確認し、ローカルファイルを置き換えます。これにより、侵害されたシステムは攻撃者にとって継続的に制御可能な「ステージングフレームワーク」として機能します。

侵害指標（IOC）一覧——今すぐ確認すべきログと痕跡

Sonatypeが公開したIOCと、Hackreadが補足した検出指標を以下に整理します。開発者環境および企業のCI/CDパイプラインで優先的に確認してください。

IOCの種別	具体的な指標
ネットワーク通信先（外部）	`www.jsonkeeper.com`へのHTTP/HTTPSリクエスト
C2通信	`45.59.163.198:1244`への接続
ファイルシステム	ユーザーホームディレクトリの予期しない`.vscode`フォルダ
プロセス	説明のつかないバックグラウンドのNode.jsプロセス
npmパッケージ	`[email protected]`またはsonatype-2026-003558に関連するパッケージ
認証情報アクセス	開発者ワークステーションやビルドシステムからの不審なクレデンシャルアクセス

開発者・情報システム担当者が今すぐ取るべき対応

最優先：該当パッケージのインストール有無の確認

以下のコマンドで対象パッケージがインストールされているかを確認してください。

npm list buffer-utilities
npm list --global buffer-utilities

プロジェクトのpackage.jsonやpackage-lock.jsonに以下のパッケージ名が含まれていないかも確認してください：buffer-utilities・buffer-util-extend・express-denv・jwt-path・webpack-patch・chai-as-patch・chai-beta・react-next-dom・midcore・midcorp・node-background-invoker-v2

パッケージの削除（ただし削除だけでは不十分な場合があります）

npm uninstall buffer-utilities

Sonatypeが強調するのは「パッケージを削除するだけでは不十分な場合がある」という点です。第2ステージのペイロードがすでに実行されていた場合、削除後もC2への接続やf.jsのバックグラウンド実行が継続している可能性があります。

インストール済みの場合は侵害されたシステムとして扱う

[email protected]またはsonatype-2026-003558に関連するパッケージをインストールしていた場合は、そのシステムを侵害されたものとして扱い、フォレンジック調査を実施してください。具体的には以下を確認します：ユーザーのホームディレクトリに.vscodeフォルダが存在しないか、www.jsonkeeper.comまたは45.59.163.198への通信がネットワークログに存在しないか、予期しないNode.jsのバックグラウンドプロセスが実行されていないか。

CI/CDパイプラインとビルドシステムの確認

今回のキャンペーンの特に危険な点は、個人の開発者マシンだけでなくCI/CDパイプライン（GitHub Actions・Jenkins・CircleCI等）のビルド環境に侵入し、ビルド成果物やソフトウェアサプライチェーン全体に悪意あるコードを注入できる可能性がある点です。ビルド環境のnpm installログを遡って確認することを推奨します。

Sonatype Firewallによる自動防御の検討

Sonatypeは自社製品「Sonatype Firewall」で本キャンペーンを検出・ブロックしていると述べています。オープンソースのリポジトリファイアウォールやソフトウェアコンポジション解析（SCA）ツールの導入が、このクラスの攻撃への継続的な対抗手段として推奨されます。

ラザルス・グループとnpmへの継続的な攻撃——日本企業にとっての文脈

ラザルス・グループ（北朝鮮・朝鮮民主主義人民共和国の国家支援を受けた脅威アクター）は、2023年以降、npm・PyPI・GitHubを標的にした開発者向けのサプライチェーン攻撃を継続的に行っています。過去のキャンペーンには「VMConnect」「graphalgo」などがあり、いずれもjsonkeeper.com等の外部サービスをペイロードホスティングに活用する手法が確認されています。

当サイトのpolyfill.io第2波記事でも報じたように、北朝鮮系アクターはサプライチェーンへの侵入を継続的な戦略として採用しています。日本ではCAMPFIREのGitHub PAT流出事案やビジュアルアーツのクラウド認証情報窃取のように、開発者環境を起点にした侵害が実害に直結したケースが相次いでいます。npmレジストリを利用するすべての開発者・企業のIT担当者にとって、今回のSonatypeの報告は直接的な脅威インテリジェンスとして取り扱うべき内容です。

FAQ

Q. タイポスクワットに注意していれば今回のような攻撃は防げましたか？ A. 防げません。Sonatypeの調査によれば、ブランドジャッキングパッケージのうち綴りミスを利用したものは9%にすぎません。今回のbuffer-utilitiesやchai-as-patchのような「正規パッケージの拡張版に見える名称」は、注意深い開発者でも一見しただけでは識別が困難です。パッケージ名だけでなく、発行者（publisher）の評判・公開日・ダウンロード数・npmパッケージに対応するGitHubリポジトリの存在確認など、複合的な判断が必要です。

Q. buffer-utilitiesをインストールしたかどうか確認する方法は？ A. npm list buffer-utilitiesで直接確認できます。またpackage-lock.json内にbuffer-utilitiesの記載がないかを検索することでも確認できます。CI/CDのビルドログでnpm installの出力を遡って確認する方法も有効です。

Q. 今回の攻撃と「Operation Dream Job」などのラザルス・グループのフェイク採用担当者攻撃とは関係がありますか？ A. 直接の連係は確認されていませんが、ラザルス・グループは採用プロセスを装ってコーディング課題を通じてマルウェアを配布する「フェイクリクルーター攻撃」と、今回のようなnpmパッケージを通じた「パッシブなサプライチェーン攻撃」を並行して展開しています。いずれも最終的な目標は開発者環境への侵入と認証情報・暗号資産・開発成果物の窃取です。

Q. 個人開発者ではなく企業のIT担当者として何をすべきですか？ A. SBOMの整備とソフトウェアコンポジション解析（SCA）ツールの導入が最も優先度の高い対策です。具体的には、社内で使用しているnpmパッケージのリストを把握し、今回のIOCと照合する。CI/CDパイプラインのビルドログを定期的に確認する。開発者がインストールするパッケージに対してリポジトリファイアウォール（Sonatype Firewall等）を導入して悪意あるパッケージを自動的にブロックする、という3点が即時対応として推奨されます。