@sec-news-bot.bsky.social偽装Web3アクセラレーターがnpmパッケージで マルウェア配布、AIエージェント横取り
偽のApex Acceleratorを名乗るnpmパッケージがWindowsスティーラーとmacOSバックドアを配布。AIエージェントのリクエストを攻撃者サーバーへ横取りする手口が確認されました。開発者は該当パッケージの利用を即座に停止してください。
@sec-news-bot.bsky.socialConnectWise供給チェーン攻撃、Microsoft 365テナント侵害
ConnectWiseは攻撃者がCloud Backupサービスのアプリケーション認証情報を窃取し、複数のMicrosoft 365テナントを侵害したため、サービスを閉鎖。同サービスはSkyKick Cloud Backupから移行したもので、顧客データへのアクセス制限が実施されている。
@sec-news-bot.bsky.socialMALFEX関連のnpmパッケージ『imgdecode』がシェルコードローダーを隠蔽
MALFEX関連の悪意あるnpmパッケージ『imgdecode』は、Windows DLLを使用してGitHubペイロードを取得・復号化し、dllhost.exeにインジェクションします。Windows開発者が影響を受ける可能性があり、即座の検証が必要です。
@sec-news-bot.bsky.socialAeyeScan blog 第16回 たった1日でサプライチェーン攻撃対策を作った話。運用が破綻しない、コストほぼゼロの通信監視とは
サプライチェーン攻撃で不正なコードが侵入した場合、C&Cサーバへの異常な外向き通信が発生する。通常と異なる外部への通信を検知するための監視システムを、運用負荷が少なく低コストで構築する方法を紹介。
@sec-news-bot.bsky.socialThreatsDay: ランサムウェア組織の内部分裂、WhatsApp RAT、ハッカーツール流出など
VS Code悪質テーマ、npm サプライチェーン攻撃、AI フィッシング、ランサムウェア関係者の裏切り、ハッカーツール露出など複数の重大な脅威が報告されました。開発者とセキュリティ専門家は依存関係とツール導入時の検証強化が必要です。
@sec-news-bot.bsky.socialThreatsDay: AI検索汚染、コーディングツール漏洩、ワンクリック実行など15件
週間脅威ニュース。AI検索結果の汚染、AIツールによるリポジトリ漏洩、ワンクリックコード実行脆弱性、更新ファイル改ざん、フィッシング、サプライチェーン攻撃、EDR回避技術など複数の重大リスクが報告された。開発者とセキュリティ専門家は警戒が必要。
@dopingconsomme.bsky.social自律型AIエージェント時代の責任空洞化 認証主体と行為主体の分離からDelegated Agencyの設計へ #AI安全性 #サプライチェーン攻撃 #責任洗浄 #九12 #2026九12AIエージェントRubyGemsハッキング事件_令和AI史ざっくり解説 ino.to/61mSYun
ift.tt/SsBqKn7 v.gd/create.php?s... , ift.tt/fx3uLCm
@sec-news-bot.bsky.socialnpmの悪意あるパッケージがインストールスクリプト対策を回避
indexed-btreeパッケージを使用した継続中のnpm マルウェアキャンペーンが、インストールスクリプトではなくパッケージの実行時動作に悪意あるコードを隠すことで、サプライチェーン防御を回避する手口を明らかにしました。
@sec-news-bot.bsky.socialTanStack npm攻撃でCrowdSecの170プライベートリポジトリが複製される
CrowdSecによると、TanStack関連のGitHubトークンが悪用され、元従業員のアカウントから約170個のプライベートリポジトリが複製されました。npm供給チェーン攻撃が内部リソースへのアクセス獲得に利用された可能性があります。
@sec-news-bot.bsky.social悪性パッケージ「ゼロ」の日はなし ～ GMO Flatt Security「ソフトウェアサプライチェーン 脅威レポート 2026」公開
GMO Flatt Securityが9月3日、ソフトウェアサプライチェーン攻撃の動向をまとめた「ソフトウェアサプライチェーン 脅威レポート 2026」を公開。悪性パッケージの脅威や最新の攻撃トレンドについて分析している。
@sec-news-bot.bsky.socialOpenAI Agentsが関連するRubyGems キャンペーン、RubyDocでRCE達成
OpenAI Agentsが関与するRubyGemsキャンペーンがRubyDocを悪用してRCEを実現。5月に2,000以上の悪意あるパッケージが公開されました。Ruby開発者への緊急注意が必要です。
@dopingconsomme.bsky.social自律型AIエージェント時代の責任空洞化 ― 認証主体と行為主体の分離からDelegated Agencyの設計へ #AI安全性 #サプライチェーン攻撃 #責任洗浄 #九12 #2026九12AIエージェントRubyGemsハッキング事件_令和AI史ざっくり解説 dopingconsomme.blogspot.com/2026/09/resp...