npmを狙うPhantomRavenが再来——81個の悪意あるパッケージが今も生きている

セキュリティスキャンをすり抜ける手口で、開発者の認証情報を静かに盗み続けるキャンペーンが進行している。Endor Labsが発見した続報は、思っていた以上に話が終わっていなかった。

スキャンをすり抜ける「見えない依存関係」

2025年10月、セキュリティ企業Koi Securityが初めて公表した「PhantomRaven」キャンペーン。当時の報告では126個以上の悪意あるパッケージが8万6,000回以上ダウンロードされており、規模としては十分に深刻だった。

問題は、そこで終わっていなかったことだ。

Endor Labsの調査によれば、2025年11月から2026年2月にかけてさらに3波・88個の悪意あるパッケージが追加で配布されており、執筆時点では81個がnpmに残存。指令サーバーも2台が稼働中だという。

なぜ見つかりにくいのか。鍵はRDD（リモート動的依存関係）と呼ばれる手法にある。

「パッケージに悪意あるコードがない」という前提で動く従来のスキャナーは、この手口を検出できない。RDDの核心は「悪意ある実体をレジストリに置かない」点にある。スキャンの目が届かない場所に、本当の牙が潜んでいる。

「slopsquatting」——AIが提案しそうな名前を狙う

攻撃者が採用するもうひとつの戦略が、slopsquatting（スロップスクワッティング）だ。

BabelやGraphQL Codegenといった有名プロジェクトのパッケージ名に「似ているが、実在しない」名前を登録する。@babel/plugin-transform-typescript は存在するが、スコープなしの transform-typescript は空白地帯だ。Endor Labsは、こうした名前が「大規模言語モデル（LLM）が提案しそうな名前」に集中していることを指摘している。

AIコーディングアシスタントに「Babelのプラグイン名を教えて」と聞いて、実在しないパッケージ名が返ってくる。それをそのまま npm install する。その瞬間、開発者の機器は感染する。

Endor Labsはこの文脈で、「AIチャットボットや未検証のソースからコピー&ペーストした提案を使わないこと」を明示的に警告している。

何を盗まれるのか

感染が成立すると、259行の悪意あるコード（index.js）が静かに実行される。端末には何も表示されない。コンソール出力がすべて if (!isPreinstall) 条件で抑制されているためだ。

その間に収集されるのは以下の情報だ。

.gitconfig、.npmrc、環境変数からのメールアドレス。GitHub Actions、GitLab CI、Jenkins、CircleCIのCI/CDトークン（計20種）。さらにIPアドレス、ホスト名、OS情報、Nodeバージョンといったマシンフィンガープリント。

収集されたデータはHTTP GETリクエストで送信され、失敗すればHTTP POST、それも失敗すればWebSocketというトリプル冗長で送信される。データは攻撃者サーバーのPHPバックエンドに蓄積され、メールアドレスでの被害者検索が可能な構造になっている。

なぜ4波も続いたのか——「素朴な持続性」の恐怖

Endor Labsが注目しているのは、攻撃の「洗練されなさ」だ。

4波にわたるペイロード259行のうち、変更されたのはC2サーバーのURLが書かれた2行だけ。残り257行は完全に同一。npm公開時のメタデータを「MAX」「ZOD」などに変えても、攻撃サーバー側のパッケージに埋め込まれた author: "JPD" は最後まで変えなかった。

つまりこの攻撃者は、高度な技術でスキャンを突破しているのではなく、「スキャンが追いつく前に次のドメインを用意する」というシンプルな作戦で6か月以上生き延びた。

波が変わるたびに使い捨てアカウントを50個以上ローテーションし、ドメインを切り替える。インフラを丸ごと更新するサイクルを繰り返す間、npmには誰かが踏んでしまうパッケージが残り続けた。

なお残る81個

現時点でEndor Labsが確認しているだけで81個のパッケージがまだnpmに存在している。

第1波だけですでに200個以上が公開されていたことになる。そこに今回の88個が加わり、確認されているだけで290個近い悪意あるパッケージが流通したことになる。自動化された検出が追いつく間にも、ダウンロードは静かに積み上がっていた。

「悪意あるコードがパッケージに存在しない」攻撃は、検出の前提を問い直す。ソースコードをスキャンするだけでは不十分であり、外部に向かう依存関係の取得先まで追跡しなければならない。