공격자들이 인기 코드 저장소를 오염시켜 수백만 개발자에게 피해
북한 해커로 추정되는 세력이 최근 가장 정교한 공급망 공격 가운데 하나를 감행해, 매주 약 1억 회 다운로드되는 자바스크립트 라이브러리 Axios를 침해했다. 3월 31일 새벽 약 3시간 동안 이어진 이번 공격으로 의료, 금융, 암호화폐 거래소, 기술 분야 수천 개 기업이 사용하는 소프트웨어에 악성 코드가 삽입됐다. 보안 연구원들은 오염된 버전이 라이브러리 사용자 기반의 약 3%에게 다운로드된 것으로 추정하며, 암호화폐와 기업 자격 증명을 탈취하도록 설계된 원격 접근 트로이목마에 수십만 개 시스템이 노출됐을 가능성이 있다고 밝혔다.
목차
Axios는 Node.js와 브라우저에서 비동기 API 요청을 지원하는 프로미스 기반 HTTP 클라이언트로, 현대 웹 애플리케이션의 핵심 구성 요소다. 의료 서비스 제공업체부터 금융기관까지 다양한 기업이 웹사이트 구축과 데이터 교환을 간소화하기 위해 이 라이브러리에 의존한다. 디지털 자산 업계에서 활동하는 일부 암호화폐 기업과 기술 기업도 이 소프트웨어를 사용해, 평양의 수익 창출형 사이버 작전에서 특히 가치 있는 표적이 됐다. 기업 환경 전반에 Axios가 널리 도입된 만큼 이번 침해는 하위 의존성과 통합 서비스에도 연쇄적인 위험을 초래한다.
구글 위협 인텔리전스 그룹은 이번 사건을 2018년부터 활동해 온 금전적 동기의 북한 위협 행위자 UNC1069의 소행으로 공식 지목했다. 이 그룹은 평양의 핵·미사일 프로그램에 자금을 대기 위해 암호화폐 거래소, 탈중앙화 금융 플랫폼, 벤처캐피털 기업을 표적으로 삼아온 것으로 알려졌다. 구글 소유 정보 분석 기업 맨디언트에 따르면, 이번 사건은 고가치 경제 표적을 겨냥해 글로벌 소프트웨어 공급망을 무기화하려는 북한의 작전이 한층 확대된 최신 사례다.
맨디언트 최고기술책임자 찰스 카마칼은 위협이 장기간 이어질 수 있다고 설명했다.
이번 소프트웨어 공급망 공격으로 최근 확보한 자격 증명과 시스템 접근 권한을 이용해 기업을 표적으로 삼고 암호화폐를 탈취하려 할 것으로 예상합니다. 이번 작전이 하위 시스템에 미친 영향을 파악하는 데는 몇 달이 걸릴 가능성이 큽니다.
헌트리스의 보안 연구원 존 해먼드는 자사에서 이미 약 12개 기업에 속한 침해 기기 약 135대를 확인했다고 밝혔다. 다만 기업들이 포렌식 감사를 마치면 드러날 초기 발견 사례에 불과할 것으로 예상했다.
공급망 침해의 작동 방식
이번 공격은 해커들이 Axios 라이브러리의 주요 관리자 계정인 @jasonsaayman 소유의 npm 계정을 탈취하면서 시작됐다. 위협 행위자들은 정교한 제로데이 취약점을 악용하는 대신, 오래 유지된 액세스 토큰을 사용해 OpenID Connect 기반 인증 절차를 포함한 최신 보안 통제를 우회했다. 이를 통해 표준 보안 경보를 울리거나 다중 인증을 요구받지 않고 Node Package Manager 레지스트리에 트로이목마가 삽입된 소프트웨어 버전 1.14.1과 0.30.4를 직접 게시할 수 있었다.
해먼드는 공격을 가능하게 한 중대한 설정 결함을 지적했다. OIDC 신뢰 게시(Trusted Publishing)가 설정된 v1.x 브랜치에서도 게시 워크플로는 OIDC 자격 증명과 함께 NPM_TOKEN을 환경 변수로 전달했다. 두 가지가 모두 있으면 npm은 토큰을 사용한다. 즉, OIDC 설정과 관계없이 오래 유지된 토큰이 사실상 모든 게시자의 인증 수단이었다. 이 구조적 허점으로 공격자들은 관리자가 계정에 다중 인증을 설정했는데도 보호 장치를 우회할 수 있었다. 이는 기존 인증 방식이 최신 보안 프레임워크를 어떻게 무력화할 수 있는지를 보여준다.
공격자들은 치밀한 준비와 인내심을 보였다. 본격적인 공격 18시간 전, 게시 이력이 없는 계정이라는 의심을 피하기 위해 plain-crypto-js라는 가짜 의존성의 정상 버전을 게시해 게시 이력을 만들었다. 첫 번째 악성 Axios 버전이 공개되기 20분 전에는 개발자가 침해된 라이브러리를 설치하거나 업데이트할 때 자동 실행되도록 설계된 설치 후 스크립트가 포함된 이 의존성의 무기화 버전을 올렸다. 두 번째 백도어 버전은 불과 39분 뒤에 공개됐다. 이는 제한된 기회 안에 배포를 극대화하기 위해 그룹이 배포 파이프라인을 자동화했음을 시사한다.
공격 당시 관리자들은 통제권을 되찾는 데 상당한 어려움을 겪었다. 공개된 GitHub 이슈에서 한 협력자는 악성 게시를 담당한 계정의 접근 권한을 철회할 수 없다고 밝혔다. 공격자의 권한이 자신의 권한보다 높다는 설명이었다. 해커들이 게시 권한을 유지하는 동안 개발자 커뮤니티가 피해를 막으려 분주히 움직이는 시간 싸움이 벌어졌다. npm은 최초 공개 3시간 뒤 악성 버전 게시를 취소하고 plain-crypto-js 패키지에 보안 보류 조치를 적용했으며, 한 시간 뒤에는 이를 보안 보류용 대체 패키지로 교체했다.
다중 플랫폼 악성코드, 지속성 있는 백도어 배포
악성 의존성이 설치되면 난독화된 자바스크립트 드로퍼 SILKBELL이 배포되고, 이 드로퍼는 sfrclak.com의 원격 명령·제어 서버에서 플랫폼별 페이로드를 가져왔다. 윈도 시스템에는 임의 명령을 실행할 수 있는 PowerShell 기반 도구가 전달됐다. macOS 사용자에게는 C++ Mach-O 바이너리가, Linux 설치 환경에는 Python 백도어가 배포됐다. 보안 연구원들은 이 2단계 악성코드를 WAVESHAPER.V2로 식별했다. 이는 2023년부터 이어진 암호화폐 업계 공격에서 UNC1069의 소행으로 지목된 백도어의 진화형이다.
공격의 기술적 구조는 의도적인 은폐와 플랫폼 인식 능력을 보여준다. 공개 저장소에서 드러나 코드 검토 경보를 유발할 수 있는 Axios 소스 코드를 직접 수정하는 대신, 해커들은 의존성 연결고리를 통해 악성 기능을 삽입했다. StepSecurity 연구원들은 “Axios 자체에는 악성 코드가 한 줄도 없으며, 바로 그 점이 이번 공격을 매우 위험하게 만든다”고 지적했다. plain-crypto-js 패키지는 package.json 파일의 postinstall 훅을 통해 실행돼 설치 과정에서 악성코드를 조용히 작동시킨 뒤 자체 흔적을 지우고 패키지 메타데이터를 정상 버전으로 바꿨다.
WAVESHAPER.V2는 60초마다 명령·제어 인프라에 신호를 보내고, 명령줄 인수를 통해 동적으로 C2 URL을 받는다. 이 설계로 공격자들은 악성코드를 다시 배포하지 않고도 인프라를 바꿀 수 있다. 백도어는 네 가지 주요 기능을 지원한다. 실행 프로세스 종료, 타임스탬프와 파일 크기를 포함한 상세 메타데이터를 이용한 디렉터리 열람, macOS의 AppleScript나 Linux의 셸 명령 등 기본 스크립팅 언어를 통한 시스템 명령 실행, 실행 중인 프로세스에 임의 바이너리 삽입이다. Elastic Security Labs의 분석에 따르면 macOS 바이너리는 이전 RustBucket 및 Hidden Risk 악성코드 작전의 BlueNoroff webT 모듈과 직접 연결되는 개발 빌드 경로를 참조한다. 이는 북한 소행이라는 판단을 뒷받침한다.
평양의 디지털 수익 창출 기계
북한의 해킹 작전은 제재 대상인 핵무기 프로그램에 자금을 대는 주요 수단으로 진화했다. 유엔 보고서와 2023년 백악관 추산에 따르면 평양의 미사일 개발 자금 가운데 약 절반이 사이버 절도에서 나온다. 북한 해커들은 최근 몇 년간 은행과 암호화폐 기업에서 수십억 달러를 훔쳤다. 지난해에만 북한 공작원들은 기록적인 단일 해킹으로 암호화폐 15억 달러어치를 탈취해 고가치 표적을 대규모로 침해할 능력을 입증했다.
위즈의 전략 위협 인텔리전스 책임자 벤 리드는 북한이 다른 국가 단위 위협 행위자들과는 다르게 움직인다고 설명했다.
북한은 평판이나 결국 정체가 드러나는 것을 걱정하지 않습니다. 그래서 이런 유형의 작전은 소음이 크고 세간의 주목을 받지만, 북한은 그 대가를 감수할 의향이 있습니다.
이러한 위험 감수 성향 덕분에 평양은 외교적 파장이나 공격 주체 규명에 대한 우려로 다른 나라라면 피할 수 있는 대담한 공급망 공격을 감행할 수 있다. 이번 Axios 침해는 북한 공작원들이 의료기업과 호텔 체인에서 음성·영상 통화에 사용하는 소프트웨어 제공업체 3CX에 침투한 것으로 알려진 3년 전 사례의 연장선에 있다.
구글 위협 인텔리전스 그룹의 수석 분석가 존 헐트퀴스트는 그룹이 디지털 자산에 특별히 집중하고 있다고 강조했다.
북한 해커들은 공급망 공격 경험이 풍부하며, 역사적으로 이를 암호화폐 탈취에 활용해 왔습니다. 이번 사건의 전체 범위는 아직 불분명하지만, 침해된 패키지가 널리 사용되는 만큼 파급 효과가 클 것으로 예상합니다.
UNC1069는 가짜 Zoom 회의와 사회공학 기법, 여러 고유 악성코드 계열을 이용해 금융 기술 기업을 표적으로 삼은 전력이 있으며, 암호화폐 생태계에 지속적이고 진화하는 관심을 보여왔다.
연쇄적인 공급망 취약점
Axios 사건은 오픈소스 소프트웨어 생태계를 노린 공급망 공격이 우려스럽게 급증하는 가운데 발생했다. 지난 한 달 동안 보안팀은 널리 쓰이는 보안 검색 도구 Trivy, AI 모델 통합에 사용되는 Python 라이브러리 LiteLLM, 통신 플랫폼 Telnyx를 대상으로 한 공격 등 연쇄적인 침해에 대응해 왔다. 구글은 Axios 공격이 최근 TeamPCP 공급망 문제와 무관하다고 확인했지만, 침해가 성공할 때마다 공격자들은 새로운 자격 증명과 추가 저장소에 대한 초기 접근 권한을 확보해 자기 증폭적인 침해의 고리를 만든다.
카마칼은 최근 연이어 발생한 공격으로 도난당한 비밀 정보가 대량으로 축적됐다고 경고했다. 그는 “지난 2주 동안 훔친 비밀 정보는 앞으로 며칠, 몇 주, 몇 달에 걸쳐 추가 소프트웨어 공급망 공격, 서비스형 소프트웨어 환경 침해와 그에 따른 고객 피해, 랜섬웨어와 갈취, 암호화폐 탈취에 쓰일 것”이라고 설명했다. “도난당한 자격 증명이 수십만 개에 달하는 것으로 파악하고 있습니다. 동기가 서로 다른 다양한 행위자들이 이번 공격의 배후에 있습니다. 어제 발생한 Axios npm 공급망 공격의 피해 범위는 넓으며, Axios에 의존하는 다른 인기 패키지까지 영향을 미칩니다.”
센티넬원의 선임 연구원 톰 헤겔은 위협이 눈에 보이지 않는다는 점을 강조했다.
웹사이트를 불러오거나, 은행 잔액을 확인하거나, 휴대전화에서 앱을 열 때마다 백그라운드 어딘가에서 Axios가 작동하고 있을 가능성이 큽니다. 사용자가 클릭을 하거나 실수할 필요도 없습니다. 이미 신뢰하고 있던 소프트웨어가 대신 그렇게 했습니다.
이는 공급망 공격이 기존 소프트웨어 구성 요소에 대한 사용자의 암묵적 신뢰를 악용해, 전통적인 보안 인식 교육과 엔드포인트 보호를 우회하는 방식을 보여준다.
회피 기법과 포렌식 대응책
공격자들은 사고 대응과 탐지를 어렵게 하는 정교한 안티포렌식 조치를 적용했다. 악성코드는 실행 후 설치 파일을 스스로 삭제했을 뿐 아니라, 버전 정보도 조작해 방어 담당자를 속였다. 악성 plain-crypto-js 패키지는 실제 버전인 4.2.1이 아닌 4.2.0이라고 표시해 보안팀이 패키지 무결성을 확인할 때 혼란을 일으켰다. 이 버전 위조 기법은 실제로는 침해된 버전을 설치했는데도 시스템에서 정상 소프트웨어가 실행 중이라고 관리자들이 믿게 하려는 목적이었다.
리버싱랩스의 최고 소프트웨어 설계자 토미슬라브 페리친은 이번 공격이 단발성 사건이라기보다 향후 작전의 본보기라고 평가했다.
침해된 관리자 자격 증명, 세 운영체제용으로 사전 준비한 페이로드, 40분도 안 돼 양쪽 릴리스 브랜치를 모두 공격한 점, 내장된 포렌식 흔적 자가 파괴 기능 등 여기서 확인된 작전의 정교함은 확장 가능한 작전으로 계획한 위협 행위자의 특징을 보여줍니다. 이번 작전이 PyPI와 NuGet에서도 나타난다면, 공격 방식이 이미 시사하는 바와 일치합니다. 목표는 개발자에게 최대한 널리 도달하는 것이었습니다.
기업은 이제 npm 의존성뿐 아니라 빌드 파이프라인에 연결된 모든 패키지 관리자도 감사해야 한다. 해먼드는 자동화가 확산되는 최근 개발 흐름을 고려할 때 공격 시점이 특히 우려스럽다고 말했다. 검토나 보호 장치 없이 조직에서 소프트웨어를 생성하는 AI 에이전트가 빠르게 도입되는 상황을 감안하면 해킹 시점이 절묘했다고 그는 지적했다. 위험은 Axios를 직접 사용하는 곳에 그치지 않고, 개발 도구가 자동으로 의존성을 해결하는 모든 조직으로 번진다. Semgrep 창업자 아이작 에번스는 버전을 고정하고 잠금 파일을 관리하며 표준적인 보안 위생을 지킨 개발자도 통합 개발 환경이 뒤에서 의존성을 불러왔기 때문에 피해를 입었을 수 있다고 지적했다.
소프트웨어 공급망 보안 강화
각 산업의 보안팀은 현재 노출 여부를 파악하고 침해된 시스템을 복구하기 위해 분주히 대응하고 있다. Axios를 사용하는 조직은 의존성 트리에서 버전 1.14.1과 0.30.4를 즉시 확인하고, 1.14.0이나 0.30.3 등 검증된 안전한 버전으로 되돌리며, 설치 기간에 접근 가능했던 모든 자격 증명을 교체해야 한다. 침해 지표로는 node_modules 디렉터리에 있는 plain-crypto-js, sfrclak.com(IP 주소 142.11.206.73)으로의 네트워크 연결, macOS 시스템의 /Library/Caches/com.apple.act.mond 같은 임시 디렉터리에서 실행되는 의심스러운 프로세스가 있다.
즉각적인 완화 조치에는 package-lock.json 파일에서 Axios 버전을 안전한 것으로 알려진 버전에 고정해 우발적인 업그레이드를 방지하는 일, 악성 의존성이 있는지 확인하는 일, 식별된 악성 프로세스 종료, 확인된 명령·제어 도메인을 네트워크 경계에서 차단, 영향을 받은 시스템을 운영 네트워크에서 격리, 침해 기간에 노출됐을 가능성이 있는 모든 비밀 정보와 자격 증명 교체가 포함된다. 악성코드가 탈취했을 수 있는 API 키나 서비스 계정이 무단으로 사용됐는지 접근 로그도 검토해야 한다.
소나타입의 현장 최고기술책임자 일카 투루넨은 이번 사건이 드러낸 근본적인 신뢰 문제를 강조했다. 그는 “이번 공격은 해커들이 코드 자체가 아니라 코드에 대한 사람들의 신뢰를 악용하고 있음을 보여준다”고 설명했다. “악성 기능은 단계적으로 배포된 의존성을 통해 유입됐고 흔적을 지우도록 설계돼, 공격을 발견하기 어렵고 파악하는 데 더 오래 걸렸습니다. 이는 단순한 악성코드가 아니라, 더 치밀하고 성숙한 공격 수법을 보여줍니다.” 카세야의 보안 책임자 마이크 푸글리아는 이번 사건들이 단일 계정 침해만으로 몇 시간 안에 수만 개 조직이 위험에 노출될 수 있는 세계 소프트웨어 생태계의 취약성을 다시 한번 입증한다고 지적했다.
핵심 내용
- 북한 위협 그룹 UNC1069가 매주 1억 회 다운로드되고 클라우드 환경의 약 80%에 설치된 자바스크립트 라이브러리 Axios를 침해했다
- 악성 버전 1.14.1과 0.30.4는 3월 31일 약 3시간 동안 배포됐으며, 사용자 기반의 약 3%가 다운로드했다. 다운로드 수는 최대 60만 회에 이를 가능성이 있다
- 이번 공격은 plain-crypto-js라는 가짜 의존성을 이용해 Windows, macOS, Linux 시스템을 감염시킬 수 있는 다중 플랫폼 백도어 WAVESHAPER.V2를 배포했다
- 구글 맨디언트는 그룹이 탈취한 자격 증명을 장기적인 암호화폐 탈취 작전에 이용해 북한의 핵·미사일 프로그램에 자금을 댈 것으로 예상한다
- 악성코드에는 자가 삭제와 버전 위조 등 고급 안티포렌식 기능이 포함돼 탐지를 피하려고 실제 버전 4.2.1 대신 4.2.0으로 표시했다
- 조직은 의존성 트리를 감사하고 모든 자격 증명을 교체하며, C2 도메인 sfrclak.com과 IP 주소 142.11.206.73을 차단하고 안전한 Axios 버전으로 즉시 되돌려야 한다
- 오래 유지된 액세스 토큰이 OIDC 인증 통제를 우회해 침해가 발생했다. 이는 기존 자격 증명을 정리해야 할 필요성을 보여준다
