공급망 악성 npm 패키지 4종, 정보탈취와 DDoS까지 확산

악성 npm 패키지 4종이 정보탈취와 DDoS 악성코드를 동시에 배포하며, 오픈소스 공급망의 신뢰 기반이 흔들리고 있다.

• The Hacker News는 악성 npm 패키지 4종이 infostealer와 Phantom Bot DDoS malware를 배포했다고 보도했다. npm, infostealers, Phantom Bot이 결합된 이 사례는 개발자들이 신뢰하는 패키지 저장소가 곧 공격자 유통망이 될 수 있음을 보여주며, 공급망 보안이 코드 품질보다 먼저 관리돼야 함을 시사한다.
• 기술적 원인은 악성 패키지가 정상 라이브러리처럼 보이도록 이름과 의존성을 가장하고, 설치 시 원격 페이로드를 내려받는 방식에 있다. npm, Phantom Bot, infostealer가 섞이면 한 번의 설치로 계정 탈취와 봇넷 편입이 동시에 일어나므로, 저장소 검증과 의존성 잠금이 핵심 방어가 된다.
• 이번 공격은 개발 생산성과 보안 사이의 균형이 무너질 때 생기는 전형적 리스크다. npm, 악성 패키지 4종, 공급망 공격은 CI/CD 파이프라인 전체를 흔들 수 있어, 기업은 패키지 평판보다 서명 검증, 다운로드 통제, 빌드 단계 샌드박스를 우선해야 한다.
• 한국 정책 관점에서는 공공 및 금융 소프트웨어 조달 기준에 오픈소스 검증 항목을 더 강하게 넣어야 한다. npm, Phantom Bot, 정보탈취 사건은 개발자 개별 주의만으로는 막기 어렵기 때문에, 소프트웨어 자재명세서(SBOM)와 저장소 모니터링을 제도화할 필요가 있다.
• 산업계 파급은 개발도구 보안 시장의 확대다. npm, infostealers, Phantom Bot이 동시에 나타난다는 것은 공격자가 배포 체인을 노린다는 뜻이므로, 한국 기업은 패키지 스캐닝, 의존성 위험 분석, 빌드 무결성 검증을 상용 서비스로 도입해야 한다.

정부는 오픈소스 사용을 장려하되 검증 책임을 민간 자율에만 맡겨서는 안 된다. 핵심 시스템에는 SBOM 제출, 패키지 서명, 의존성 감사를 의무화하고, 개발 단계에서부터 공급망 공격 탐지를 적용해야 한다.

주요 용어: npm(자바스크립트 패키지 저장소), SBOM(소프트웨어 구성 요소 목록), 샌드박스(위험한 동작을 격리해 검증하는 환경)

출처: The Hacker News