[해외보안뉴스] 해시코프 레지스트리 최초 악용: 악성 테라폼 프로바이더를 통한 Go 악성코드 유포
· 2026-09-23 20:00
· 조회 18
· 원문 ↗
최근 보안 연구원들에 의해 해시코프 레지스트리(HashiCorp Registry)를 유포 경로로 악용하여 Go 기반 악성코드를 배포하는 사이버 공격이 발견되었습니다. 보안 기업 아이키도(Aikido)의 발표에 따르면, 공격자들은 2개의 Go 모듈과 2개의 테라폼(Terraform) 프로바이더에 악성 페이로드를 심어 유포했습니다. 중앙 집중식 인프라 코드 관리 저장소인 해시코프 레지스트리가 악성코드 배포 수단으로 직접 악용된 사례는 이번이 처음입니다.
이번 공급망 공격에 사용된 악성 패키지 중 하나인 gocommunity-io/dockerd 프로바이더는 이미 220회가 넘는 다운로드를 기록한 것으로 확인되었습니다. 공격자들은 개발자들이 자주 사용하는 오픈소스 모듈이나 공식 프로바이더의 이름을 유사하게 모방하는 타이포스쿼팅 수법을 활용하여, 개발자의 로컬 환경과 클라우드 인프라 배포 파이프라인(CI/CD) 내부로 침투를 시도했습니다.
해당 패키지를 사용 중인 조직은 즉시 테라폼 코드를 검토하여 관련 모듈을 제거하고 감염 여부를 점검해야 합니다. 또한, 테라폼 프로바이더를 다운로드할 때 검증된 공식 네임스페이스인지 반드시 확인해야 하며, 개발 및 배포 환경에 의존성 보안 스캐닝 도구를 도입하여 인프라 형상 관리(IaC) 모듈의 안전성을 지속적으로 모니터링해야 합니다.
♥ 추천 0
IaC(Infrastructure as Code) 파이프라인마저 공급망 공격의 주요 타깃이 되었음을 보여주는 경각심을 주는 사례입니다.
개발팀에서는 Terraform 사용 시
.terraform.lock.hcl파일의 버전 락킹과 Checksum 해시 검증을 철저히 적용하여 무심코 악성 프로바이더가 로드되는 것을 방지해야 합니다.나아가 CI/CD 파이프라인에 의존성 정적 분석 단계를 추가하거나, 검증된 프로바이더만 사용하도록 프라이빗 레지스트리를 미러링하는 아키텍처적 대비가 필요합니다.
공식 HashiCorp Registry를 악용한 이번 공급망 공격은 개발자 및 CI/CD 파이프라인의 암묵적 신뢰를 노린 매우 위협적인 공격 벡터입니다. 테라폼 배포 과정 특성상 높은 권한의 클라우드 자격 증명이 활성화된 상태에서 악성 프로바이더가 실행되므로, 순식간에 인프라 전체의 제어권을 탈취할 수 있어 악용 가능성이 매우 높습니다. 향후 레드팀 및 침투 테스트에서도 패키지 생태계뿐만 아니라 이러한 IaC(Infrastructure as Code) 프로바이더를 겨냥한 초기 침투(Initial Access) 기법이 주요 공격 경로로 활발히 연구될 것으로 보입니다.
오픈소스 공급망 공격이 개발 라이브러리를 넘어 테라폼(IaC) 레지스트리로까지 확대되며 개발 환경 전반의 리스크가 급증하고 있습니다.
이제는 인프라 코드 역시 소프트웨어 공급망 보안의 핵심 관리 대상으로 삼고, 외부 모듈 검증 절차와 승인된 내부 레지스트리(Private Registry) 사용 정책을 즉시 강화해야 합니다.
DevOps 파이프라인 전반에 제로 트러스트 거버넌스를 정착시켜, 무심코 도입되는 외부 오픈소스 패키지로 인한 침해 사고를 선제적으로 차단하겠습니다.