ASP.NET開発者を狙う悪意あるNuGetパッケージ：データ窃取キャンペーンの実態

悪意あるNuGetパッケージがASP.NET Identityデータを窃取

サイバーセキュリティ企業Socketの研究者は、ASP.NETウェブアプリケーション開発者を標的とした4つの悪意あるNuGetパッケージを発見した。これらのパッケージは、ユーザーアカウント、ロール割り当て、権限マッピングなどの機密性の高いASP.NET Identityデータを窃取するだけでなく、認可ルールを操作して侵害されたアプリケーションに永続的なバックドアを設置する。

攻撃の技術的詳細

この悪意あるパッケージは、NuGet（.NET開発で広く使用されるパッケージマネージャー）を悪用した組織的なキャンペーンの一環として発見された。攻撃者は、一見正規に見えるパッケージに悪意あるコードを埋め込み、以下の行為を可能にした：

• ASP.NET Identityデータの窃取（ユーザー資格情報、ロール、権限）
• 認可ルールの改変による隠し管理者アカウントの作成
• バックドアの埋め込みによる永続性の確保

現時点では、特定のCVE IDやパッケージ名は公開されていないが、この攻撃手法は、オープンソースエコシステムを標的とした最近のサプライチェーン攻撃の傾向と一致している。

開発者と組織への影響

ASP.NET Identityデータの侵害は、以下のような深刻なリスクをもたらす：

• 機密ユーザーデータへの不正アクセス
• 改変されたロール割り当てによる権限昇格
• バックドア化されたアプリケーションによる長期的な永続性
• GDPRやCCPAなどのデータ保護規制に違反する可能性

ASP.NETプロジェクトでNuGetを使用している開発者は、依存関係を監査し、不審なパッケージや認可設定の変更がないか確認する必要がある。

緩和策と次のステップ

セキュリティチームと開発者は、以下の対策を講じることが推奨される：

1. Socket、OWASP Dependency-Check、NuGet Package Explorerなどのツールを使用してNuGet依存関係をスキャン
2. 不正な変更がないかASP.NET Identityの設定を確認
3. 影響を受けたユーザーアカウントとロールの資格情報をローテーション
4. アプリケーションログで異常な認証試行を監視
5. パッケージ署名や出所確認などのサプライチェーンセキュリティ対策を実施

Socketはこれらの悪意あるパッケージをNuGetに報告しており、NuGetはリポジトリからの削除措置を講じている可能性が高い。しかし、開発者は、npm、PyPI、RubyGemsなどの他のパッケージエコシステムでも同様の脅威に対して警戒を続けるべきである。

詳細については、The Hacker Newsのオリジナルレポートを参照。