パッケージマネージャで配布されるマルウェア、対策と課題について - ぶるーたるごぶりん

はじめに 画像は記事に全く関係ないカニのフィギュアです👋 近年、善良なパッケージを騙ったマルウェアが配布されているケースが増えてきています。 これらのマルウェアはパッケージマネージャ上で配布され、開発者端末やそれをビルトインしたシステムを利用するユーザー端末で悪事を働きます。 これは俗にいうサプライチェーン型攻撃で、 これらの関連ニュースを目にする機会が増えてきていることを、多くの開発者が体感されていると思います。 ただ、これらのサプライチェーン型攻撃の記事は、 どうしてもエンドユーザー（パッケージを利用する開発者側・それらを組み込んだアプリを実行するユーザー側）の対策に焦点が当てられたものが殆どのように感じています。 そこで本記事では、このエンドユーザー側の対策だけではなく、 パッケージマネージャメンテナーたちがどう対策しているのかも含めて、 「パッケージマネージャ上で行われるマルウェ

[kakei-akihiko]

タラバガニかな、これ。タラバガニはカニじゃなくてヤドカリだとかいうよね。／これか。 https://schleichland.com/i/cl88851

[sue445]

言及されてた。いいまとめ

[raimon49]

たしかに不正コードの実行タイミングが集中するポイントに絞って解析するとパッケージリポジトリ側でも結構な数が検知できそう。

[ssids]

対策も既存のマルウェア対策以上のことはないよね・・・解析も開発プロセスがオープンであるならば、その解析にひっかからないように攻撃者側が前もって検証するのは容易っぽいし悩ましい

[kamocyc]

"npm, pypi, gem から合計 278個のマルウェアを検出した手法について論文が出されています" すげ〜

[fn7]

脅威

[hiroomi]

”攻撃者はパッケージマネージャ (npm, Maven, Packagist, PyPI 等) にマルウェアをアップロードする”恐ろしいや。リリース毎にsca掛けて差分取るとかするのかね。

[tacamula]

キーボードが汚いのが気になった…

[PROOF]

🦀ウニ！鯵！蛸！

[mayumayu_nimolove]

カニうまそう🦀

[j1nsuke]

あとでじっぬりみる

[legoboku]

リポジトリ側でまとめて検出するのが望ましい

[remonoil]

"画像は記事に全く関係ないカニのフィギュアです👋" マジか