인기 수학 라이브러리 mathjs를 사칭한 npm 패키지 'mathmain'에서 원격 접근 백도어(임플란트)가 발견되었다. 악성 코드는 암호화되어 숨겨져 있으며, 특정 방정식을 풀 때 생성되는 행렬 데이터가 복호화 키로 사용되어야만 활성화된다. 유출된 페이로드는 공격자의 명령을 실행하며 공개 채팅 서비스와 블록체인 네트워크를 명령 채널로 활용한다.
최근 오픈소스 패키지 저장소와 CI/CD 시스템의 취약점을 노려 악성코드를 빠르게 확산시키는 공급망 공격이 급증함에 따라, 깃허브가 NPM과 깃허브 액션스(GitHub Actions)에 대한 강력한 보안 조치를 도입했습니다. 주요 개선 사항으로는 고위험 계정에 대한 72시간 읽기 전용 모드 적용, '포크(fork) 요청'으로 인한 코드 실행 취약점(Pwn Requests) 방지, 그리고 워크플로우 실행 권한 및 캐시 제어 기능이 포함되어 있어 공격의 핵심적인 경로를 근본적으로 차단하는 것이 특징입니다.
레드햇의 공식 NPM 계정(@redhat-cloud-services)이 해킹되어 공급망 공격이 발생했습니다. 악성코드(Shai-Hulud)는 설치 과정에서 GitHub, npm, Kubernetes 등의 민감한 인증 정보를 탈취하고 다른 시스템으로 전파되는 웜 형태입니다. 이 사건은 CI/CD 파이프라인 보안의 중요성과 공급망 공격의 연쇄적 위험성을 보여줍니다.
초보 개발자가 사이드 프로젝트의 90개가 넘는 버그를 수정하여 npm(npm) 및 소스 빌드 환경에서의 안정성을 확보했습니다. 터미널 환경과의 충돌 등 수많은 디버깅 끝에 완성된 만큼, 기존 사용자와 신규 사용자들에게 프로젝트 재사용을 적극 요청하고 있습니다. 오픈소스 생태계에서 개발자가 직접 코드를 개선하고 커뮤니티의 피드백을 수용하며 성장하는 과정을 보여주는 사례입니다.
가장 널리 쓰이는 JavaScript HTTP 클라이언트 라이브러리 중 하나인 axios의 주요 관리자 계정이 탈취되어 악성 버전(1.14.1, 0.30.4)이 3시간가량 npm에 배포되는 공급망 공격이 발생했습니다. 공격자는 윈도우, macOS, 리눅스용 원격 접속 트로이목마(RAT)를 설치하는 악의적인 의존성을 주입했습니다. 개발자들은 해당 버전을 사용 중인지 즉시 확인하고, 감염된 환경의 모든 비밀키를 교체하는 등 비상 조치를 취해야 합니다.
TeamPCP라는 해킹 그룹이 널리 사용되는 오픈소스 취약점 스캐너인 Trivy의 깃허브 계정을 해킹하는 등 대규모 공급망 공격을 감행했습니다. 이들은 개발자의 npm 접근 토큰을 탈취해 악성코드가 스스로 전파되는 'CanisterWorm'을 배포했으며, 이란 IP 대역의 기기를 감지하면 데이터를 초기화하는 와이퍼(Kamikaze)를 추가로 실행합니다. 소프트웨어 개발 및 배포(CI/CD) 파이프라인 전반에 연쇄적인 감염을 일으킬 수 있다는 점에서 매우 심각한 보안 위협으로 평가됩니다.