Hades, PyPI 흔들다…오픈소스 공급망이 다시 공격 무대가 되다
PyPI를 겨냥한 Hades 캠페인은 패키지 저장소를 통해 침투하는 공급망 공격이 여전히 가장 비용 효율적인 침입 경로임을 보여준다.
- Dark Reading은 Hades Campaign Against PyPI가 Shai-Hulud를 새 방식으로 변형했다고 보도했다. Hades, PyPI, Shai-Hulud는 오픈소스 패키지 생태계가 공격자에게는 대규모 배포 채널이라는 사실을 재차 보여준다.
- 이번 캠페인은 패키지 저장소를 오염시켜 개발자와 배포망을 동시에 노리는 방식으로 이해된다. Hades와 PyPI, Shai-Hulud는 코드 다운로드 자체가 감염 경로가 될 수 있음을 의미하며, 이는 한국 공공·민간 소프트웨어 조달에서도 직접적인 위험 요소이다.
- 기사에는 구체적 숫자가 없지만, PyPI라는 세계적 저장소가 표적이 된다는 점 자체가 규모의 문제이다. 소수의 악성 패키지가 수많은 프로젝트로 재배포될 수 있으므로, Hades 캠페인은 탐지보다 사전 검증과 서명 검증이 더 중요하다는 근거를 제공한다.
- 한국 정부는 공공 개발환경에서 패키지 허용 목록, 해시 검증, 내부 미러 저장소 운영을 표준화해야 한다. 오픈소스 의존도가 높은 행정 시스템일수록 공급망 공격은 즉시 서비스 중단과 데이터 유출로 이어질 수 있다.
- 산업적으로는 패키지 무결성 검증, 개발자 계정 보호, 저장소 이상행위 탐지 시장이 확대될 전망이다. Hades와 PyPI는 한국 보안 기업에게 개발자 도구 보호라는 새로운 세부 시장을 제시한다.
오픈소스는 혁신의 기반이지만, 검증이 없으면 침투의 지름길이 된다. 한국은 공공 개발 생태계에 패키지 검증을 기본 의무로 넣어야 한다.
주요 용어: PyPI(Python 패키지 저장소), 공급망 공격(배포 경로를 악용하는 공격), 패키지 무결성(코드가 변조되지 않았음을 보장하는 상태)
출처: Dark Reading
