NPM 에 등록된 악성 라이브러리 개발자 디바이스 기기 노린다

오픈소스 개발자들에게 또 다시 심각한 보안 위협이 등장했습니다. 이는 개발 커뮤니티에 큰 우려를 불러일으키고 있습니다. 보안 업체 Phylum의 최근 보고서에 따르면, 현재 NPM(Node Package Manager) 저장소에 수백 개에 달하는 악성 패키지가 업로드되어 있으며, 이들은 개발자들의 기기를 노리고 있다고 합니다. 이번 공격은 특히 교묘한 방식을 사용하고 있어 더욱 위험합니다. 공격자들은 Puppeteer, Bignum.js와 같은 유명 라이브러리나 암호화폐 관련 라이브러리들의 이름과 매우 유사한 이름을 사용해 개발자들을 속이고 있습니다. 이러한 상황에서 개발자들의 각별한 주의가 요구됩니다.

기사 원문 : < Hundreds of code libraries posted to NPM try to install malware on dev machines >

타이포스쿼팅 기법: 개발자를 속이는 교묘한 수법

이번 공격에서 사용된 악성 패키지들은 ‘타이포스쿼팅(typosquatting)’이라는 기법을 교묘하게 활용하고 있습니다. 타이포스쿼팅은 정상적인 패키지 이름과 매우 유사하지만 약간의 차이가 있는 이름을 사용해 사용자들을 속이는 방법입니다. 이 기법은 단순하면서도 효과적이어서 많은 개발자들이 쉽게 속아 넘어갈 수 있습니다.

구체적인 예를 들어보면, ‘puppeteer’라는 정상적인 패키지가 있을 때, 공격자들은 ‘pupeteer’나 ‘puppetter’와 같이 오타가 있는 이름으로 악성 패키지를 등록합니다. 이렇게 하면 개발자들이 실수로 패키지 이름을 잘못 입력했을 때, 의도치 않게 악성 패키지를 다운로드하게 됩니다. 이는 단순한 실수가 심각한 보안 문제로 이어질 수 있음을 보여줍니다.

타이포스쿼팅 기법은 원래 악성 웹사이트로 사용자를 유도하는 데 주로 사용되었습니다. 그러나 최근 5년 동안 이 기법은 개발 영역으로 확장되어, 개발자들을 속여 악성 코드 라이브러리를 다운로드하게 하는 데도 널리 활용되고 있습니다. 이러한 트렌드는 개발자 커뮤니티에 큰 위협이 되고 있으며, 보안 전문가들의 우려를 낳고 있습니다. 따라서 개발자들은 패키지를 다운로드하기 전에 이름을 꼭 한 번 더 확인하는 습관을 들여야 합니다. 작은 주의로 큰 위험을 예방할 수 있습니다.

교묘하게 숨겨진 악성 코드: 복잡한 은닉 기법

이번에 발견된 악성 패키지들은 매우 정교하고 복잡한 방식으로 악성 코드를 숨기고 있어 더욱 위험합니다. 패키지가 설치되면, 먼저 이더리움 스마트 계약을 통해 악성 코드를 다운로드할 IP 주소를 받아옵니다. 이러한 방식은 악성 코드의 출처를 효과적으로 숨길 수 있어, 보안 전문가들의 추적을 어렵게 만듭니다.

< Trojanized Ethers Forks on npm Attempting to Steal Ethereum Private Keys >

흥미로운 점은, 이더리움 블록체인의 특성상 모든 거래 기록이 영구적으로 남기 때문에, 역설적으로 공격자들이 과거에 사용했던 IP 주소들의 흔적이 모두 남게 되었다는 것입니다. 이는 공격자들에게는 불리한 요소로 작용했습니다. Phylum 연구진은 이러한 블록체인의 특성을 활용하여 공격자들이 사용한 여러 IP 주소들을 추적할 수 있었습니다. 이는 블록체인 기술이 범죄 수사에도 활용될 수 있음을 보여주는 흥미로운 사례입니다.

악성 패키지의 작동 방식은 더욱 교묘합니다. 패키지가 설치되면 Vercel 패키지 형태로 메모리에서 실행되며, 시스템이 재부팅되어도 자동으로 실행되도록 설정됩니다. 이는 악성 코드가 지속적으로 활동할 수 있게 해줍니다. 그리고 이더리움 계약을 통해 받아온 IP 주소로 연결해 추가적인 Javascript 파일들을 다운로드합니다. 이러한 방식으로 악성 코드는 지속적으로 업데이트되고 확장될 수 있습니다.

더욱 우려되는 점은 이 악성 코드가 감염된 기기의 상세한 시스템 정보를 수집한다는 것입니다. GPU, CPU, 메모리, 사용자명, OS 버전 등의 정보를 수집해 공격자의 서버로 전송합니다. 이렇게 수집된 정보는 추가적인 공격을 위한 중요한 자료로 사용될 가능성이 높습니다. 예를 들어, 특정 시스템의 취약점을 노리는 맞춤형 공격을 계획하는 데 활용될 수 있습니다. 이는 단순한 정보 유출을 넘어서 더 큰 보안 위협으로 이어질 수 있어 매우 위험합니다.

개발자들의 각별한 주의 필요

이번 사례는 오픈소스 생태계를 노리는 공급망 공격이 지속적으로 진화하며 더욱 교묘해지고 있음을 명확히 보여줍니다. 특히 NPM과 같은 대규모 패키지 저장소를 통한 공격은 그 영향력이 매우 광범위하여, 수많은 개발자와 프로젝트에 심각한 보안 위협을 초래할 수 있습니다. 이러한 공격은 단순히 개별 프로젝트에 국한되지 않고, 전체 소프트웨어 생태계에 연쇄적인 영향을 미칠 수 있어 그 위험성이 더욱 크다고 할 수 있습니다.

따라서 개발자들은 패키지를 설치하고 사용할 때 그 어느 때보다도 높은 수준의 주의를 기울여야 합니다. 패키지 이름을 정확히 확인하는 것은 물론이고, 의심스러운 점이 조금이라도 있다면 반드시 공식 문서나 GitHub 저장소를 통해 재확인하는 과정을 거쳐야 합니다. 또한, 사용 중인 패키지에 대해 알려진 취약점이 있는지 정기적으로 확인하고 최신 버전으로 업데이트하는 것도 매우 중요합니다. 이러한 과정을 자동화할 수 있는 도구를 활용하는 것도 좋은 방법이 될 수 있습니다.

이번 사건은 오픈소스 생태계의 보안이 얼마나 중요하고 동시에 취약할 수 있는지를 다시 한번 강력하게 일깨워줍니다. 개발자 개개인의 주의와 노력도 필수적이지만, 이와 더불어 NPM과 같은 플랫폼 차원에서도 악성 패키지를 탐지하고 제거하기 위한 노력을 더욱 강화해야 할 것입니다. 예를 들어, 인공지능을 활용한 패키지 검증 시스템을 도입하거나, 커뮤니티 기반의 패키지 평가 시스템을 구축하는 등의 방안을 고려해볼 수 있습니다. 또한, 개발자들에게 보안 관련 교육과 가이드라인을 제공하는 것도 중요한 역할을 할 수 있습니다. 오픈소스의 혁신적인 장점을 최대한 살리면서도, 동시에 안전하고 신뢰할 수 있는 환경에서 이를 이용할 수 있도록 만들기 위해서는 개발자, 플랫폼 제공자, 보안 전문가 등 생태계 전반의 모든 참여자들의 지속적인 관심과 협력이 필요한 시점입니다.