북한 해커, 108개 악성 패키지로 오픈소스 공급망을 장기 잠입 통로로 악용함

North Korean PolinRider 캠페인이 108개의 악성 패키지와 브라우저 확장 프로그램을 공개 저장소에 뿌리며, 글로벌 개발 생태계를 겨냥한 공급망 공격을 본격화함

• The Hacker News는 PolinRider로 명명된 북한 연계 해킹 캠페인이 npm과 PyPI 등 오픈소스 패키지 저장소와 브라우저 확장 프로그램 마켓에 최소 108개의 악성 패키지와 애드온을 업로드했다고 보도하였으며, 이 패키지들은 정상 개발 도구나 크롬 확장 프로그램으로 위장한 뒤 설치 시 지갑 키, 인증 토큰, 브라우저 쿠키를 수집해 C2 서버로 전송하는 기능을 포함하고 있어, 개발자 환경이 국가·기업 인프라 침투의 전초기지로 활용되고 있다.
• PolinRider 악성 패키지는 Visual Studio Code 플러그인, 웹3 지갑 도우미, 크롬 생산성 확장 등 인기 있는 개발·생산성 도구를 사칭하거나, 기존의 신뢰받는 라이브러리 이름에 철자 한두 글자를 바꾸는 타이포스쿼팅 방식으로 배포되며, 사용자가 GitHub 프로젝트나 사내 CI/CD 파이프라인에서 의존성을 자동 업데이트하도록 설정해 둔 경우 별도의 경고 없이 악성 코드가 빌드 프로세스에 주입되어, 정부·금융·방산 시스템의 소스 코드와 비밀 키까지 유출될 위험을 키우고 있다.
• 보도에 따르면 보안 연구자들이 추적한 결과, 이들 108개 패키지와 확장 프로그램은 서로 다른 개발자 계정과 IP 대역을 사용해 분산 배포되었으나, 동일한 데이터 탈취 모듈과 C2 도메인 패턴을 공유하고 있었고, 일부 패키지는 수백 회 이상의 다운로드를 기록한 뒤 탐지·삭제되었으며, 이는 과거 Lazarus 그룹이 활용했던 블록체인·가상자산 탈취 인프라와 코드 유사성이 발견된 만큼 북한의 외화 벌이 및 전략 기술 탈취 작전의 일환으로 분석되고 있다.
• 공급망 공격이 강화되는 배경에는 GitHub, npm, PyPI 같은 글로벌 오픈소스 플랫폼이 사실상 공공 인프라 역할을 하는 반면, 패키지 심사와 검증 절차는 여전히 자동 악성코드 스캔에 의존하고 있어, 국가 배후 공격자가 시간차를 노려 검증 회피 코드를 삽입할 여지가 크다는 구조적 문제가 존재하며, 최근 미국과 EU에서 논의 중인 SBOM 의무화, 오픈소스 보안 책임 강화 입법의 주요 근거 사례로도 활용되고 있다.
• 한국은 방위산업체, 반도체 기업, 공공 클라우드 사업자가 대규모로 오픈소스 패키지를 사용하면서도 SBOM 제출 의무가 제한적으로 적용되는 상황이므로, PolinRider 사례를 계기로 보안 인증을 받는 공공 프로젝트와 국책 R&D 과제에 대해 최소한의 SBOM 제출과 서명 검증을 요구하고, npm·PyPI·VSCode Marketplace 등 주요 저장소와의 위협 인텔리전스 연계를 강화하는 정책을 추진할 필요가 있다.

북한의 오픈소스 공급망 공격은 개발 도구를 통해 국가 핵심 인프라로 우회 침투하는 전형적 전략이므로, 한국은 SBOM과 코드 서명 의무화, 개발 환경 보안 가이드라인을 조기에 제도화해 방산·반도체·공공 시스템을 우선 보호해야 한다.

주요 용어: PolinRider 캠페인(북한 연계로 분석되는 오픈소스 패키지·브라우저 확장 공급망 공격 작전), SBOM(Software Bill of Materials로 사용된 오픈소스 구성요소 목록을 체계적으로 기록한 문서), 타이포스쿼팅(정상 패키지 이름과 유사한 철자를 사용해 사용자의 오타를 노리는 사칭 등록 방식)

출처: The Hacker News