axios サプライチェーン攻撃。怒涛の1週間とコミュニティの対応をチームで振り返る会

今回は、世界中で広く利用されているHTTPクライアントライブラリ「axios」で発生したソフトウェアサプライチェーン攻撃について読み解きます。メンテナのアカウント乗っ取りの手口から、悪意ある依存関係（マルウェア）が混入し実行されるメカニズム、そしてセキュリティ企業やコミュニティによる対応の裏側まで、エンジニアが知っておくべきインシデントの全貌について話し合いました。📝 今回のトピック00:00 オープニング：axiosインシデント発覚の背景02:35 ブログ記事「axios ソフトウェアサプライチェーン攻撃の概要と対応指針」06:25 StepSecurity社による検知と初期対応の裏側15:06 悪意あるコードの実行経路（postinstallの悪用）と依存関係の罠31:05 メンテナアカウント乗っ取りの巧妙な手口（偽Teams画面によるソーシャルエンジニアリング）38:00 エンディング📚 参照・紹介した記事/サイト・axios ソフトウェアサプライチェーン攻撃の概要と対応指針 (GMO Flatt Security Blog)https://blog.flatt.tech/entry/axios_compromise・Behind the Scenes: How StepSecurity Detected and Helped Remediate the Largest npm Supply Chain Attack (StepSecurity)https://www.stepsecurity.io/blog/behind-the-scenes-how-stepsecurity-detected-and-helped-remediate-the-largest-npm-supply-chain-attack・Inside the Axios supply chain compromise - one RAT to rule them all (Elastic Security Labs)https://www.elastic.co/security-labs/axios-one-rat-to-rule-them-all・Attackers Are Hunting High-Impact Node.js Maintainers in a Coordinated Social Engineering Campaign (Socket)https://socket.dev/blog/attackers-hunting-high-impact-nodejs-maintainers🤔 Ultra Thinking とは「エンジニアの背中を預かる」 GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。