[해외보안뉴스] npm 패키지 'imgdecode'에서 셸코드 로더 발견… 'MALFEX' 공급망 공격 주의
· 2026-10-17 12:00
· 조회 11
· 원문 ↗
사이버 보안 연구원들이 최근 'MALFEX'로 명명된 소프트웨어 공급망 공격 캠페인의 일환으로 유포된 악성 npm 패키지 'imgdecode'를 발견했습니다. 해당 패키지는 2026년 9월 30일 'malfexteste8'이라는 사용자에 의해 패키지 레지스트리에 업로드되었으며, Windows 네이티브 애드온(Native Addon)을 활용해 은밀하게 셸코드 로더를 숨긴 것으로 조사되었습니다.
분석 결과 'imgdecode' 패키지는 정상적인 이미지 데코딩 라이브러리인 것처럼 위장하여 개발자들의 다운로드를 유도했습니다. 하지만 실제로는 내부에 포함된 C/C++ 기반 네이티브 모듈을 통해 실행 시 시스템 메모리에 악성 셸코드를 로드하고 실행하도록 설계되었습니다. 해당 패키지는 현재까지 최소 979회 이상 다운로드되었으며, 이를 프로젝트 의존성으로 추가한 개발 환경이나 CI/CD 파이프라인이 공격자에게 탈취되어 임의의 명령 실행 및 추가 악성코드 유포 등의 심각한 피해로 이어질 수 있습니다.
따라서 개발자와 보안 관리자는 사용 중인 프로젝트의 의존성 목록을 즉시 점검하여 'imgdecode' 패키지의 포함 여부를 확인하고, 발견 즉시 이를 제거해야 합니다. 또한, 검증되지 않은 출처나 신규 생성된 계정의 패키지 사용을 지양하고, 소프트웨어 구성 분석(SCA) 도구를 적극 활용하여 오픈소스 라이브러리의 악성 코드 포함 여부를 지속적으로 모니터링하는 노력이 필요합니다.
♥ 추천 0
JavaScript 정적 분석 도구를 우회하기 위해 C/C++ 네이티브 애드온(.node 바이너리) 내부에 셸코드를 숨기는 방식이 점차 정교해지고 있습니다.
binding.gyp나 바이너리 빌드 과정이 포함된 npm 패키지는 일반적인 소스 코드 검토만으로 위협을 감지하기 어려우므로 도입 시 각별한 주의가 필요합니다.의존성 트리에서 불필요한 네이티브 모듈을 최소화하고, CI/CD 파이프라인 단계에서 패키지의 네이티브 행위를 스캔할 수 있는 보안 도구를 도입해야 합니다.
JS 기반의 정적 분석(SAST) 도구를 우회하기 위해 컴파일된 Windows 네이티브 애드온 바이너리 내부에 셸코드 로더를 은닉한 점이 매우 인상적인 공격 기법입니다.
네이티브 모듈 특성상 Node.js 프로세스 권한으로 Win32 API를 직접 호출할 수 있어, 메모리 내 임의 코드 실행과 EDR 우회가 훨씬 수월해집니다.
이미지 디코더 같은 범용 유틸리티 패키지로 위장하여 개발자의 워크스테이션과 CI/CD 파이프라인을 노린 매우 치명적인 초기 침투(Initial Access) 벡터입니다.
오픈소스 패키지를 통한 소프트웨어 공급망 공격이 정교해지고 있으며, 네이티브 어드온을 활용한 탐지 우회 기법은 개발 환경에 직접적인 위협이 됩니다.
조직 차원에서 검증되지 않은 외부 라이브러리의 무분별한 도입을 통제하기 위해 프라이빗 리포지토리 사용을 의무화하고 오픈소스 보안 게이트웨이 정책을 강화해야 합니다.
철저한 SBOM(소프트웨어 자재명세서) 기반의 종속성 모니터링을 통해 개발 생산성을 유지하면서도 공급망 보안 리스크를 선제적으로 관리하겠습니다.