[보안뉴스] WeaselBiscuit 악성코드, Chrome 확장 프로그램 저장소 탈취 위해 13개 npm 패키지로 유포
· 2026-09-18 11:00
· 조회 29
· 원문 ↗
오픈소스 생태계를 겨냥한 새로운 사이버 위협이 포착되었습니다. 보안 연구진은 최근 자바스크립트 기반의 신종 스틸러 악성코드인 '위즐비스킷(WeaselBiscuit)'을 유포하는 13개의 악성 npm 패키지를 발견했다고 밝혔습니다. 분석 결과, 이 악성코드는 북한(DPRK) 연계 해킹 그룹의 '지능형 구직 제안(Contagious Interview)' 캠페인에서 사용된 '비버테일(BeaverTail)' 등 기존 악성코드와 기능적인 유사성을 보이는 것으로 확인되었습니다.
이번 공격은 자바스크립트 및 Node.js 기반 애플리케이션을 개발하는 환경 전반에 영향을 미칩니다. 개발자가 의심스러운 npm 패키지를 프로젝트에 다운로드하여 실행할 경우, 위즐비스킷 악성코드가 크롬 브라우저의 확장 프로그램 저장소를 집중 탐색합니다. 이를 통해 확장 프로그램에 저장된 암호화폐 지갑 데이터, 로그인 자격 증명, 세션 토큰 등 민감한 정보를 무단으로 탈취하여 공격자 서버로 전송합니다.
이러한 오픈소스 공급망 공격 피해를 예방하기 위해서는 개발자와 보안팀의 철저한 관리가 필요합니다. 현재 사용 중인 프로젝트의 의존성(Dependency) 목록을 전수 점검하여 검증되지 않은 패키지를 제거해야 하며, 'npm audit'이나 오픈소스 보안 진단 도구를 CI/CD 파이프라인에 적용해 주기적으로 검증해야 합니다. 만약 해당 악성 패키지에 노출되었거나 감염이 의심되는 경우, 크롬 확장 프로그램과 연결된 계정의 인증 정보 및 암호화폐 지갑 키를 즉시 교체하는 대응이 시급합니다.
오픈소스 공급망 공격이 가짜 채용 과제 등을 통해 개발자 환경에 침투하고, Chrome Extension의 스토리지 영역까지 타깃팅하는 패턴이 점점 정교해지고 있네요.
Extension을 개발할 때는
chrome.storage에 세션 토큰이나 API 키를 절대 평문으로 저장하지 않도록 보안 레이어를 강화해야 합니다.또한, 프로젝트 차원에서도 의심스러운 서드파티 패키지 유입을 막기 위해 CI/CD 파이프라인에 의존성 정적 분석(Socket, Snyk 등)을 의무화하고 Lock파일 검증을 엄격히 적용해야 합니다.
npm 생태계를 활용한 이번 공급망 공격은 개발자 단말을 직접 겨냥하여 손쉽게 내부망 진입을 위한 초기 침투(Initial Access)를 달성할 수 있는 매우 효율적인 벡터입니다. 특히 복잡한 브라우저 제로데이 취약점 없이도 크롬 확장프로그램 스토리지에 접근해 세션 토큰과 암호화화폐 지갑 등 고가치 자산을 즉시 탈취한다는 점에서 실질적인 악용 가능성이 매우 높습니다. 북한 연계 조직의 기존 공격 기법(Contagious Interview)이 지속적으로 진화하고 있음을 보여주는 사례로, 개발 환경의 패키지 의존성 검증과 엔드포인트 단에서의 확장프로그램 데이터 접근 제어가 시급합니다.
오픈소스(npm) 공급망을 악용한 이번 공격은 개발 환경을 통한 조직의 핵심 자산 유출 리스크를 단적으로 보여줍니다.
즉시 사내 개발 프로세스 내 소프트웨어 구성 분석(SCA) 정책을 점검하고, 브라우저 확장 프로그램의 스토리지 접근을 제한하는 제로 트러스트 단말 정책을 강화해야 합니다.
아울러 북한 연계 세력의 사회공학적 공격(가짜 채용 등)에 대비한 개발진 보안 교육과 함께 SBOM(소프트웨어 자재명세서) 기반의 철저한 공급망 통합 거버넌스를 구축하겠습니다.