”주 3100만 회 이상 다운로드되는 ES린트 오픈소스 해킹 확인”

[보안뉴스 강현주 기자] 주 3100만 회 이상 다운로드되는 ES린트 오픈소스가 해킹을 당하는 등 오픈소스 공급망 공격 위협이 커지고 있다.

디지털·모바일·드론 포렌식, 가상자산 추적 및 포렌식, 악성코드 및 침해사고 분석 대응 전문업체인 인섹시큐리티(대표 김종광)는 인프라 보호(CIP) 분야 글로벌 리더 옵스왓(OPSWAT)의 최근 연구를 통해 오픈소스와 외부 소프트웨어를 통한 공급망 공격 위험이 급증하고 있다고 경고했다.

옵스왓에 따르면 전 세계적으로 주간 3100만 회 이상 다운로드되는 오픈소스 도구 ES린트 관련 인기 오픈소스 패키지인 ‘eslint-config-prettier’가 공격에 악용된 사례가 확인됐다. ES린트(ESLint) 오픈소스 해킹 사례는 ‘공급망 공격이 전 세계 소프트웨어 개발 생태계 전반에 심각한 보안 위협으로 작용’할 수 있음을 시사한다.


[자료: 인섹시큐리티]

공격 방식은 비교적 단순했다. 해커들이 npm 공식 메일을 위장한 피싱 이메일을 보내 유지보수 관리자의 액세스 권한을 탈취했다. 이후 이를 이용해 허가되지 않은 악성 버전(8.10.1, 9.1.1, 10.1.6, 10.1.7)을 npm 레지스트리에 배포했으며, 동일 관리자가 맡은 다른 패키지(eslint-plugin-prettier, synckit 등)도 함께 악성 코드에 감염됐다.

특히 해당 패키지는 설치 시 자동 실행되는 install.js 스크립트를 포함하고 있었으며, 이는 윈도우 환경에서 rundll32 명령을 호출해 DLL 기반 악성 행위를 수행하도록 만들어졌으며, 이를 통해 공격자는 피해자의 PC를 손쉽게 장악할 수 있었다.

이번 사례는 단 한 번의 피싱 공격이 수백만 프로젝트에 연쇄적인 피해를 줄 수 있음을 보여준다. 최근 소프트웨어 개발이 수많은 외부 오픈소스 패키지에 의존하는 만큼, 공급망을 통한 공격은 점점 더 빠르게 확산되고 있으며 위험성도 커지고 있다. 이런 배경에서 각국 규제 기관은 기업들에게 SBOM(소프트웨어 자재명세서) 제출을 요구하는 추세다. 이는 소프트웨어에 포함된 오픈소스·서드파티 구성 요소를 명확히 파악해, 취약점이나 보안 사고가 발생했을 때 신속히 대응하기 위함이다.

옵스왓의 공급망 보호 솔루션 ‘메타디펜더 소프트웨어 서플라이 체인’은 악성코드, 취약점, 하드코딩된 자격 증명 등 잠재적 위협을 탐지해 투명성과 무결성을 확보하며, 소프트웨어 공급망 전체를 보호한다. 오픈소스 및 써드파티 구성 요소를 포함한 모든 소프트웨어 라이브러리를 스캔해 보안 위협 및 취약점을 식별함으로써 DevSecOps 파이프라인을 강화한다.

옵스왓은 SC 미디어 어워드의 △ 최우수 공급망 보안 솔루션 △ 최우수 전문 인증 프로그램 부문에서 파이널리스트로 선정된 바 있다.

옵스왓의 국내 총판 인섹시큐리티의 김종광 대표는 “오픈소스 생태계는 신뢰에 기반하지만 이번 사례에서 볼 수 있듯 단 한 번의 사회공학 공격 성공만으로도 수백만 개의 하위 프로젝트에 영향을 미칠 수 있다”며 “공급망 공격은 점점 더 지능화되고 개인화 된 타겟을 노리고 있는 만큼 의존성 스캔은 물론 이메일 무해화 같은 사전 예방적 보안 조치는 더 이상 선택 사항이 아니라 필수 요건이다”라고 조언했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>