GitHub サプライチェーン攻撃：keyv 及び関連パッケージ (2026 年 8 月 4 日)

日付: 2026 年 8 月 4 日
深刻度: Critical（スコア 100/100）
ステータス: コミュニティ間での拡散が確認済み

エグゼクティブサマリー

• 2026 年 8 月 4 日、npm 週間ダウンロード数が約 1 億 2,700 万回と多いキャッシュユーティリティ「keyv」のメンテナアカウントが乗っ取られました。
• 攻撃者はこの権限を悪用し、同系パッケージに認証情報窃取用のワームを注入しました。
• flat-cache（5.65 億回）、file-entry-cache（5.57 億回）、cacheable（2,900 万回）など、他にも多くの高利用パッケージが影響を受けました。
• 攻撃手法：悪意のあるファイルをメインブランチにプッシュし、GitHub Actions で署名された**正当な出所プロヴェナンス（provenance）**の付いた中毒バージョンを npm に公開しています。

アップデート — 2026 年 8 月 4 日 13:37 (CEST)

• ワームにより、少なくとも 434 パッケージ（計 1,381 バージョン）が汚染されています。
• 総月間インストール数は 20 億回を超えています。
• 主要な組織を含む他メンテナのパッケージも感染拡大しています：

  • @deliveroo/reevent

    v1.0.1

  • @or-sdk/invitations

    v1.4.9

  • @picsart/ai-sdk

    v3.32.2

  • @qlik/embed-runtime

    v1.6.4

  • picasso.js

    v2.11.6

乗っ取られたパッケージ一覧

報告時点での汚染状況です。

発生事情：技術分析

注入メカニズム

影響を受けたパッケージには以下の 2 つの新しいファイルが追加され、

package.json

"preinstall": "node setup.mjs"

npm install

setup.mjs

1. 初期ドロッパー：

setup.mjs

• Bun JavaScript ランタイム（バージョン 1.3.13）を GitHub からダウンロードし、本物のペイロードを実行します。
  • ダウンロード元:

    github.com/oven-sh/bun/releases/download/bun-v1.3.13/

// setup.mjs 内の処理ロジック
execFileSync(<bun binary>, ['<script_dir>/Math_Symbol.js'], {
  stdio: 'inherit',
  cwd: <script_dir>
})

2. 主要ペイロード：

Math_Symbol.js

• サイズ: 728 KB。
• 機能:
  • 被害者環境の機密情報を収集・暗号化。
  • 認証情報を「Shai-Hulud: Here We Go Again」と書かれた公開 GitHub リポジトリへ流出（ダンプ）。
  • 他のメンテナのパッケージに感染を広げるワーム機能を実装。

窃取対象：認証情報収集の範囲

Math_Symbol.js

npm トークン

• ~/.npmrc

  の読み込みおよびスキャン（

  .npmrc

  ファイル全体）。
• 抽出:

  authToken

  値と

  //registry.*:_authToken=...

  形式のエントリ。
• 検証:

  registry.npmjs.org/-/whoami

  でライブ認証を確認。

GitHub トークン

対象：クラシックな PAT (

ghp_...

gho_...

ghs_...

• ソース:

  ~/.config/gh/hosts.yml

  、環境変数、ファイルシステムスキャン。
• GitHub Actions ランナー:
  • 直接メモリ読み取りによる全シークレットストアダンプ。
  • OIDC トークン (

    ACTIONS_ID_TOKEN_REQUEST_TOKEN

    ,

    ACTIONS_ID_TOKEN_REQUEST_URL

    ) の窃取。

AWS クレデンシャル

• ~/.aws/credentials

  、

  ~/.aws/config

  の解析。
• 環境変数：

  AWS_ACCESS_KEY_ID

  ,

  AWS_SECRET_ACCESS_KEY

  ,

  AWS_SESSION_TOKEN

  。
• EC2 メタデータ: IMDSv2（優先）→ IMDSv1（フォールバック）の試行 (169.254.169.254)。
• ECS メタデータ: 169.254.170.2。
• Secrets Manager:

  secretsmanager:ListSecrets

  の複数リージョン呼び出しによる全シークレットの列挙・流出。

Kubernetes シークレット

• /var/run/secrets/kubernetes.io/serviceaccount/

  からのトークン・CA 証明書読み取り。
• サービスアカウントトークンによる API 照会（ネームスペース内全シークレット取得）。

• KUBECONFIG

  と

  ~/.kube/config

  の対象化。

HashiCorp Vault トークン

6 つのソースから優先順位に応じてチェック：

1. 環境変数

   VAULT_TOKEN

2. ~/.vault-token

3. /home/runner/.vault-token

   （GitHub Actions）
4. よく知られたコンテナパス
5. サービスアカウント JWT を使用した K8s 認証ログイン
6. 盗まれた AWS クレデンシャルを使用した Vault AWS IAM 認証エンドポイント

• 流出後処理:

  /v1/sys/mounts

  経由で KV ストア全列挙、KV v1/v2 パスのシークレット読み取り。

外部サービストークン

ファイルシステムスキャンによる検出：

• Stripe: テスト用 (

  sk_

  ) およびライブ用 (

  pk_

  ) キー。
• Slack:

  xox[baprs]-...

  トークン。

ジェネリックファイルシステムスキャン

macOS と Linux 向けのスキャナーが約 200 のグロブパターンを実行します。

スキャン対象

• .env

  ,

  .env.*

  ,

  .envrc

  ファイル
• プライベートキー (

  *.pem

  ,

  *.key

  ,

  *.p12

  ,

  *.pfx

  ,

  *.jks

  )
• SSH キー・設定 (

  id_rsa

  ,

  id_ed25519

  ,

  .ssh/config

  )
• Terraform ステートファイル、

  .tfvars

• Docker レジストリ認証 (

  docker/config.json

  )
• KeePass DB (

  *.kdbx

  )
• VPN 設定 (

  *.ovpn

  )
• IDE 設定 (

  .vscode/tasks.json

  ,

  .claude/settings.json

  など)

制約と処理

• サイズ制限: ファイルサイズが 5 MB を超えるものはスキップ。
• 並列度: 最大 64 の並列読み込み。
• 正規表現エンジン: スキャンされた全ファイルに適用され、以下をフラグ化：
  • PEM プライベートキー / SSH 公開キー
  • Azure ストレージキー
  • データベース接続文字列（埋め込まれた認証情報を含む）

  • key=value

    パターン（一般的なシークレットフィールド名に一致するもの）

流出戦略

収集されたデータは、公開前に全セットで暗号化され、攻撃者が保持する RSA プライベートキーによる復号のみ可能です。

主要流出先

• 場所: 説明文に "Shai-Hulud: Here We Go Again" を含む公開 GitHub リポジトリ（約 1,300 箇所）。
• 用途: これらはすべて、被害者の暗号化認証情報バンドルのドロップポイントとして機能しています。

代替流出先

• ドメイン:

  https://npm-cache.com:443/router

• 特徴: 2026 年 5 月 22 日登録の疑わしいドメイン。
• 仕組み: Ethereum スマートコントラクト (

  0xE1f2395ee43e45A1556EC6438a88c31B83493103

  ) から動的に取得するため、攻撃者はインフラを柔軟に切り替えられます。

自己複製するワームのメカニズム

マルウェアは認証情報窃取に加え、能動的に自身を広めます。

1. npm ターボールへの感染（拡散）

• 盗まれた npm トークンで

  https://registry.npmjs.org/-/npm/v1/tokens

  を叩き、公開権限を持つパッケージをリスト化。
• 各パッケージのターボールを展開し、以下の修正を加えて再公開：
  • バージョンをパッチアップ（例：

    1.2.3

    →

    1.2.4

    ）。

  • "preinstall": "node setup.mjs"

    を追加。

  • setup.mjs

    および

    math_init.js

    （

    Math_Symbol.js

    と同一機能）を注入。
• 特徴: 元のメンテナを超えて伝播し、400 を超えるパッケージが感染（2 世代目：

  math_init.js

  で識別可能）。

2. GitHub リポジトリへの感染

• ghs_

  トークンを検出すると、リポジトリごとに最大 50 ブランチ を処理。
• 対象除外:

  dependabot

  および

  copilot

  のブランチをスキップ。
• ペイロード配信:

  • .claude/settings.json

    と

    .vscode/tasks.json

    への悪意あるフック追加。
  • VS Code で開くか、Claude Code を起動すると、npm インストールなしで即座に実行される設計。
• 偽装:

  claude

  名で署名、メールアドレス

  claude@users.noreply.github.com

  、コミットメッセージ

  chore: update config

  とすることで正規と混同されます。

侵害の兆候 (IOCs)

ファイル

setup.mjs

54dc7ea54a1317cca0e890a2770630cf7fa6c97813e0cb9d2caa93012b350668

setup.mjs

fd3ca4007b225fdf8de7af4345a19179d5efa8c4bb9205f88cda806e5684b1eb

Math_Symbol.js

math_init.js

9fc2570b7cef51c1b8df116d144d11ff4096357be7d2c4c6367cfc2509cf1bcc

ネットワーク

• 流出エンドポイント:

  https://npm-cache.com:443/router

• Ethereum リクエスト: コントラクト

  0xE1f2395ee43e45A1556EC6438a88c31B83493103

  を含む

  eth-mainnet.nodereal.io

その他

• 攻撃者リポジトリ: 説明文に "Shai-Hulud: Here We Go Again" を含む全ての公開 GitHub リポジトリ（認証情報流出用管理用）。

是正と検出 (Aikido)

既存の Aikido ユーザー向け

• 中央フィード確認: Malware 関連の問題でフィルタリング。
  • 表示: 100/100 クリティカルな問題として表示されます。
• アクション: 再スキャンは夜間に自動実行されるため、即座に手動で再スキャンをトリガーしてください。

ニュユーザー向け

• アカウント作成とリポジトリ接続が可能です。
• マルウェア対策機能は無料プランに含まれています（クレジットカード不要）。

将来の保護：Aikido Safe Chain

チーム全体のカバレッジが必要な場合に検討すべきオープンソースソリューションです。

• 機能: 既存ワークフローに組み込まれ、

  npm

  ,

  npx

  ,

  yarn

  ,

  pnpm

  ,

  pnpx

  コマンドをインターセプト。
• 検証: インストール前に Aikido Intel でパッケージを検証します。

デバイス保護

Aikido の Device Protection により：

• チームのデバイスにインストールされているソフトウェアパッケージに対する可視性と制御が可能。
• ブラウザ拡張機能、コードライブラリ、IDE プラグイン、ビルド依存関係などを一元管理。
• マルウェアのインストールを未然に阻止します。