GitHubセキュリティ危機：GlassWormがサプライチェーン攻撃で433件汚染した手口と対策

GitHubセキュリティを揺るがすGlassWorm攻撃とは

あなたのコードレビュー画面に表示されている1行のJavaScript。見た目はただのバッククォート2つに挟まれた空文字列。しかし実際には、その「空」の中に大量の不可視マルウェアが隠れている。

2026年3月、ベルギーのAikido SecurityやStepSecurity、OpenSourceMalwareコミュニティが相次いで警告を発した。「GlassWorm」と名付けられたサプライチェーン攻撃は、Unicodeの不可視制御文字を悪用し、GitHub・npm・VS Code拡張の433件以上を汚染していた。

サプライチェーン攻撃の手口――Unicodeの「見えない文字」を武器に

異体字セレクターの悪用

攻撃の核心は、Unicodeの異体字セレクター（Variation Selector）だ。本来は漢字やアラビア文字の字形を指定するための制御文字で、以下の2つの範囲が悪用されている。

これらの文字は表示幅がゼロで、GitHub・VS Code・ターミナル・diffビューアのすべてで完全に不可視。テキストエディタのカーソルすら止まらない。

デコーダーの仕組み

攻撃コードは以下のようなデコーダー関数を使い、不可視文字列からバイト列を復元する。

// GlassWormデコーダーパターン（検出用に簡略化）
const decode = v => [...v].map(w => (
  w = w.codePointAt(0),
  w >= 0xFE00 && w <= 0xFE0F ? w - 0xFE00 :
  w >= 0xE0100 && w <= 0xE01EF ? w - 0xE0100 + 16 : null
)).filter(n => n !== null);

// 見た目は空文字列だが、数千の不可視文字が含まれている
eval(Buffer.from(decode(``)).toString('utf-8'));

バッククォートの間に不可視文字が大量に埋め込まれ、eval()で実行される。見た目は1行の空文字列だが、不可視文字として大量のマルウェアコードが隠されている。

Solanaブロックチェーンを使ったC2――テイクダウン不能な指揮統制

従来のマルウェアはC2（Command & Control）サーバーにドメインやIPアドレスを使うため、セキュリティチームがドメインを差し押さえれば無力化できた。GlassWormはSolanaブロックチェーンのウォレットをC2として使う。

2025年11月27日から2026年3月13日までの間に、研究者は50回のトランザクションを確認。攻撃者はウォレットのメモフィールドを更新するだけで、マルウェアの接続先を自在に変更できる。

GitHub・npm・VS Codeのセキュリティ被害――汚染433件の内訳

GlassWormは単一のプラットフォームに留まらず、開発エコシステム全体に拡散した。

影響を受けたプロジェクトには、状態管理ライブラリ「reworm」（1,460スター）、Wasmerの公式サンプルリポジトリ「wasmer-examples」、OpenCode関連の「opencode-bench」などが含まれる。悪意あるVS Code拡張7つの合計ダウンロード数は約35,800回に達していた。

攻撃の拡散メカニズム

攻撃者はまずVS Code拡張やnpmパッケージから開発者のGitHubトークンを盗み、そのトークンで正規リポジトリにforce-pushする。コミットは「ドキュメント修正」「バージョンアップ」などに偽装され、LLMで生成された自然なコミットメッセージが使われている可能性がある。

攻撃タイムライン

窃取される情報と攻撃者の痕跡

標的データ

マルウェアが狙うのは開発者の資産だ。

• 暗号資産ウォレットのデータ
• GitHubトークン・SSH鍵などの開発者認証情報
• 開発環境のデータ

ロシア語圏の関与

コード分析から、マルウェアはロシア語ロケールが検出された場合に実行をスキップする仕様が確認されている。ロシア語圏の攻撃者が関与している可能性を示唆するが、偽旗工作の可能性もあり、確定的な帰属は困難だ。

マルウェア検出方法――GitHubリポジトリの安全確認コマンド

以下のコマンドで感染の兆候をチェックできる。

# 1. GlassWorm特有の変数名を検索
grep -r "lzcdrtfxyqiplpd" --include="*.js" --include="*.ts" .

# 2. 不可視Unicode文字（異体字セレクター範囲）のスキャン
grep -rP '[\x{FE00}-\x{FE0F}]|[\x{E0100}-\x{E01EF}]' --include="*.js" .

# 3. 感染時に作成されるファイルの確認
ls -la ~/init.json ~/node-v22* 2>/dev/null && echo "⚠️ 感染の痕跡あり"

# 4. バッククォート内の不可視文字を検出（Node.js）
node -e "
const fs = require('fs');
const code = fs.readFileSync(process.argv[1], 'utf-8');
const invisible = code.match(/[\uFE00-\uFE0F\u{E0100}-\u{E01EF}]/gu);
if (invisible) console.log('⚠️ 不可視文字検出:', invisible.length, '個');
else console.log('✓ 不可視文字なし');
" target_file.js

セキュリティ対策――開発チームが今すぐやるべきこと

Claude Codeのようなコーディングツールを使う場合、感染リポジトリのコードをAIが読み込むと人間のレビューなしにペイロードが実行されるリスクがある点にも注意が必要だ。

LLM悪用でサプライチェーン攻撃が加速する懸念

専門家が指摘するのは、LLMを使った攻撃の自動化だ。GlassWormでは以下の場面でAIが悪用された可能性がある。

• カバーコミットの自動生成: 正規のコミット履歴に紛れ込む自然な文面
• 多言語・多フレームワーク展開: React、Python、VS Code拡張にまたがる攻撃コードの大量生成
• AIエージェントへの感染: Browser Useなどの自律エージェントが感染ファイルを処理すると、人間の介入なしに攻撃が伝播する可能性

Hacker Newsの議論では、「GitHubはUnicode警告機能を持っているが、バグバウンティ報告者に対して『修正予定なし』と回答した」という情報も共有されている。開発環境のセキュリティを個々の開発者だけに委ねるのは限界があり、プラットフォーム側の対応が問われている。

で、結局どこまで確認されているのか

GlassWormは「サプライチェーン攻撃」の新たな段階を示している。コードの見た目だけを信頼する時代は終わった。

参照ソース

• Aikido Security: Glassworm Returns — Invisible Unicode Malware Found in 150+ GitHub Repositories
• BleepingComputer: GlassWorm malware hits 400+ code repos on GitHub, npm, VSCode, OpenVSX
• The Hacker News: GlassWorm Attack Uses Stolen GitHub Tokens to Force-Push Malware Into Python Repos
• Scientific American: GlassWorm malware hides in invisible open-source code
• Codebook: GlassWormマルウェア、GitHub・npm・VSCode・OpenVSXのリポジトリ400件超を侵害
• Qiita: GitHubリポジトリが静かに書き換えられる — GlassWorm

この記事はAI業界の最新動向を速報でお届けする「AI Heartland ニュース」です。