mastra ソフトウェアサプライチェーン攻撃の概要と対応指針 - GMO Flatt Security Blog

2026年6月17日、mastra および @mastra/* の複数パッケージの改ざん（ソフトウェアサプライチェーン攻撃）が発生しました。悪性の依存パッケージ easy-day-js が注入されています。 easy-day-js は postinstall フックにより C2 サーバからマルウェアペイロードを取得・実行する Stager として動作します。 ペイロードはマルチプラットフォーム対応の RAT で、(1) ホスト情報の窃取、(2) OS レベルの永続化、(3) C2 への情報送信とリモートコマンド実行を行います。 本記事は、弊社が Takumi Guard の解析基盤をベースに観測＆分析した情報を踏まえ、日本の Mastra コミュニティに向けて、影響と対策を中心に整理するものです。 TL;DR - 対応指針 はじめに タイムライン 侵害の仕組み 1. 初期侵入（推定）：np

[gabill]

今日も隣の街で空襲があった。明日自分の頭上に爆弾が落ちてきてもおかしくない。そういう空気。

[mkusaka]

mastra/ @mastra/*の141超改ざんを解析し、easy-day-js postinstallでRAT起動。影響確認と除去、Takumi Guard等を提示

[kootaro]

怖いよね...Nugetも結構雑に追加するしねAIが

[oooooo4150]

“仮にある時点でパッケージがマルウェアと判定できずブロックできなかった場合” 今回の件に限らず、直近の主要な攻撃を検知してブロックできたのか、検知率を知りたいです！

[nguyen-oi]

またnpmのサプライチェーン攻撃か。冷却期間の設定は自衛に必須になりそう