npmミラーが悪性リダイレクトページのホスティングに悪用される

npmミラーが悪性リダイレクトページのホスティングに悪用される

BleepingComputer – August 25, 2026

npmおよびそのミラーを悪用してCloudflare CAPTCHAに見せかけた悪性HTMLページをホストするキャンペーンについて、OX Securityが報告。これらの偽ページは、訪問者を攻撃者が制御するWebサイトへリダイレクトするために使われるという。

近年多発している一般的なnpmサプライチェーン攻撃では、汚染されたパッケージをインストールすると、開発者のコンピューターがマルウェアやインフォスティーラーに感染することになる。しかし今回の偽Cloudflareキャンペーンではこうした感染は起きない。代わりに、攻撃者はnpmレジストリを悪意あるHTMLページの「無料ストレージ」として利用し、UNPKGやnpmmirror、yarn、tencentといったミラーリングプラットフォームでこれらのページをコピーしているという。

この手口は当初、2026年7月にセキュリティ研究者inf0stache氏により発見された。このケースでは、「china_airlines」というnpmパッケージが偽のCloudflare認証ページを使って訪問者を悪性ドメインへリダイレクトするために使われていたとされる。また同月にIntelFusionsもこの手口について報告していた。

その後8月25日、OX Securityはこうした偽Cloudflareキャンペーンに関する新たなブログ記事を公開。同様の悪性HTMLページを含むnpmパッケージを24件発見したとして、技術的詳細を共有した。こうしたnpmパッケージは公式npmレジストリから削除された後も、ミラーサイト側に残存する可能性があるとOX Securityは警告している。

問題のパッケージの1つをテストしたBleepingComputerによると、このパッケージに含まれていたのはindex.htmlとpackage.jsonの2つのファイルのみ。このパッケージがUNPKGでミラーリングされると、「https://unpkg[.]com/ndmxchdjxn2@1.0.0/index[.]html」などのURLを使ってHTMLファイルがブラウザ内で直接開けるようになるとされる。これにより、攻撃者のHTMLが攻撃者自身のインフラからではなく、正規の「unpkg.com」ドメインからブラウザ内でレンダリングされることになる。このため、悪性サイトであればブロックできるであろうセキュリティソフトウェアをバイパスできる可能性があるという。

この悪性HTMLはCloudflareのセキュリティ認証ページを装っており、正規のTurnstile CAPTCHAが埋め込まれている。そしてこの認証が成功するか否かに関わらず、JavaScriptが実行されて訪問者は別のサイトへリダイレクトされることになる。OX Securityによれば、7月のキャンペーンにおけるリダイレクト先はmicrocloud[.]homesやhttps://outlook.office.com/mail、8月はlogin[.]microsofte[.]liveだったとされる。このドメインは現在オフラインになっているものの、偽のMicrosoftログインページをホストするのに使われる可能性が指摘されている。

BleepingComputerがテストしたもの以外のパッケージでは、上記とは異なり正規のキーバリューストア（KVS）サービス「api.keyval.org」を使用するリダイレクト手法が使われていたとされる。この手法は、同サービスから暗号化されたバリューを取得し、ブラウザ内で復号して訪問者を復号されたURLへリダイレクトするというもの。これにより攻撃者は、npmパッケージ自体を手直ししたり再公開したりすることなく、リダイレクトURLをリモートで変更できるようになっている。なおOX Securityによると、同社が調査を実施した時点では、リモートで設定されたリダイレクト先は正規のChatGPTサイトだったものの、このバリューはいつClickFixやその他のフィッシングページを指し示すものに変更されてもおかしくないという。ただし、BleepingComputerがレビューしたHTMLでは、ClickFix攻撃は行われていないとされる。

OX Securityは、「脅威アクターらはマルウェアを配布するためだけでなく、正規のインフラを使って自らのペイロードやデータを保管する目的でも、これまでなかった斬新なテクニックを模索・活用し続けている」とコメント。npmミラードメインへのダイレクトなHTMLリクエストについては潜在的に疑わしいものとして扱うことを推奨している。