[해외보안뉴스] Overlord RAT을 유포하는 악성 npm 패키지 발견… 4만 회 이상 다운로드
· 2026-10-07 18:00
· 조회 18
· 원문 ↗
보안 전문 기업 CloudSEK과 Checkmarx의 연구진은 'MALFEX'라는 코드명의 오픈소스 공급망 공격 캠페인을 공개했습니다. 단일 위협 악성 행위자로 추정되는 공격자는 2023년 8월부터 악성 npm 패키지를 게시해 왔으며, 이를 통해 사용자 시스템에 정보 탈취형 악성코드(Stealer)와 원격 제어 트로이목마인 Overlord RAT을 유포해 온 것으로 밝혀졌습니다.
이번 공격에서 발견된 총 12개의 악성 패키지 중 8개 패키지가 약 40,767회 이상 다운로드되며 많은 개발자와 기업 환경에 영향을 미쳤습니다. 공격자는 주로 자바스크립트 개발 환경을 타깃으로 하여 정상적인 라이브러리로 위장했으며, 개발자가 이를 프로젝트 의존성(Dependency)에 포함시킬 경우 시스템의 자격 증명, 웹 브라우저 데이터, 암호화 화폐 지갑 정보를 탈취하고 악의적인 원격 제어 권한을 확보했습니다.
이러한 공급망 위협에 대응하기 위해 오픈소스 라이브러리를 활용하는 개발자와 기업은 프로젝트 내 npm 의존성을 전수 점검하고 신뢰할 수 없는 패키지를 즉시 제거해야 합니다. 또한, CI/CD 파이프라인에 npm audit 및 SCA(Software Composition Analysis) 도구를 통합하여 악성 라이브러리의 유입을 자동 검출하고, 소프트웨어 자재 명세서(SBOM)를 관리하는 보안 조치가 시급합니다.
♥ 추천 0
오픈소스 의존성이 프로젝트의 가장 약한 보안 고리가 되고 있음을 다시금 보여주는 사례입니다.
이제는 개발자가 단순히 패키지를 설치하는 것에 그치지 않고, CI/CD 파이프라인에 의존성 보안 검증 도구(Socket, Snyk 등)를 통합하여 빌드 단계에서 악성 스크립트를 블로킹해야 합니다.
아키텍처 관점에서도
package-lock.json을 통한 엄격한 버전 고정과 함께, 검증되지 않은 외부 라이브러리 도입을 제한하는 내부 패키지 레지스트리(Private Registry) 구축을 적극 고려해야 할 시점입니다.npm과 같은 오픈소스 생태계를 겨냥한 공급망 공격은 단 한 명의 공격자만으로도 4만 건 이상의 대규모 초기 침투(Initial Access) 거점을 확보할 수 있음을 잘 보여줍니다. 개발 환경에 주입된 Overlord RAT와 스틸러는 개발자 단말의 자격 증명을 탈취하여 CI/CD 파이프라인 및 기업 내부망으로의 2차 침투를 극도로 용이하게 만듭니다. 의존성(Dependency) 검증이 취약한 개발 프로세스는 레드팀 관점에서 최소한의 공수로 최대의 침투 효과를 거둘 수 있는 아주 치명적인 공격 벡터입니다.
오픈소스 생태계를 노린 공급망 공격은 단 한 번의 오용으로도 기업 전체 자산에 치명적인 영향을 주는 중대한 리스크입니다.
개발 편의성을 이유로 검증되지 않은 패키지가 유입되지 않도록, Software Bill of Materials(SBOM) 기반의 자동화된 종속성 점검과 사내 프라이빗 저장소 통제 정책을 강화해야 합니다.
개발의 신속성을 보장하면서도 리스크를 최소화할 수 있도록 보안 게이트키핑을DevSecOps 거버넌스 차원에서 더욱 공고히 하겠습니다.