npm で「ChainDrop」— keyv などの人気パッケージに自己増殖するマルウェア

何が起きたか

8月4日、JavaScript の部品置き場 npm で、キャッシュ用の人気パッケージ keyv の開発者の GitHub アカウントが乗っ取られ、マルウェア入りの版が公開されました。「ChainDrop」と呼ばれ、2025年に流行した Shai-Hulud の系統とされます。正規の自動公開の仕組みを通って出されたため、配布元の証明（provenance）も正しいものが付いていました。

インストールするだけで動き、環境変数、GitHub や npm のトークン、AWS などクラウドの鍵を盗みます。盗んだ npm の権限で別のパッケージにも感染を広げたため、被害は数百以上のパッケージに及んだと報じられています（数は調査会社によって異なります）。

影響を受けたのは

• keyv 6.0.0、flat-cache 6.1.24、file-entry-cache 11.1.6、cacheable 2.5.1 など
• これらを直接または間接に取り込んで npm install した開発者の PC や CI/CD の環境

自社で確認したいこと

• 自社の依存関係に該当の版がないか、公開された一覧と照らし合わせる
• 入れてしまった PC や CI は侵害されたものとして作り直す
• その環境から使えたトークン・クラウドの鍵・SSH 鍵をすべて入れ替える
• バージョンを固定し、新しい版をすぐには取り込まない設定にする