axios NPM 해킹됨 — 메인테이너 계정 탈취로 RAT 드롭퍼 심긴 악성 버전 배포

• 2026년 3월 30일, npm 주간 다운로드 3억 회 이상인 axios가 해킹당함 — [email protected]과 [email protected]가 악성 버전으로 퍼블리시됨
  • axios 핵심 메인테이너(jasonsaayman)의 npm 크리덴셜이 탈취되어 수동으로 퍼블리시된 거임
  • 공격자는 메인테이너 계정의 이메일을 ProtonMail([email protected])로 변경하고, GitHub Actions CI/CD를 우회해서 npm CLI로 직접 올림
  • 정상 릴리스는 전부 GitHub Actions OIDC Trusted Publisher로 퍼블리시되는데, 1.14.1은 OIDC 바인딩도 gitHead도 없음 — GitHub 레포에 대응하는 커밋이나 태그 자체가 존재하지 않음

공격 메커니즘

• axios 소스 코드 자체에는 악성 코드가 단 한 줄도 없음 — 트릭은 가짜 의존성 주입

  • [email protected]이라는 패키지를 dependencies에 추가했는데, axios 코드 어디에서도 import하지 않음
  • 이 패키지의 유일한 목적은 postinstall 스크립트(node setup.js)를 실행하는 것
  • npm install [email protected] 하면 npm이 자동으로 plain-crypto-js를 설치하고 postinstall 훅이 발동됨

• 공격은 치밀하게 사전 준비됨 — 우발적이 아님

  • 악성 의존성(plain-crypto-js)이 axios 릴리스보다 18시간 먼저 npm에 올라감 — "신규 패키지" 알람을 피하려는 의도
  • macOS, Windows, Linux 3개 OS별 페이로드가 사전 빌드됨
  • 1.x와 0.x 두 브랜치 모두 39분 안에 동시 공격
  • StepSecurity는 "npm top-10 패키지 대상 공급망 공격 중 가장 정교한 수준"이라고 평가

크로스 플랫폼 RAT 드롭퍼

• setup.js는 2중 난독화(XOR 암호 + base64)로 정적 분석을 회피하도록 설계됨

  • 민감한 문자열(모듈명, C2 URL, 셸 명령)이 stq[] 배열에 인코딩되어 저장
  • XOR 키 "OrDeR_7077"에서 알파벳은 NaN → 비트 연산 시 0이 되고, 숫자 7,0,7,7만 유효한 키로 작동
  • C2 서버 URL: http://sfrclak.com:8000/6202033

• macOS: AppleScript로 드롭 → /Library/Caches/com.apple.act.mond에 RAT 바이너리 저장

  • 경로가 Apple 시스템 캐시 디렉토리를 흉내 내고, 파일명은 "Activity Monitor Daemon"처럼 위장
  • 실행 후 AppleScript 파일 자체는 삭제됨

• Windows: VBScript → PowerShell 3단계 체인

  • PowerShell 바이너리를 %PROGRAMDATA%\wt.exe(Windows Terminal로 위장)에 복사
  • -ExecutionPolicy Bypass -WindowStyle Hidden으로 실행 후 자가 삭제

• Linux: curl로 Python RAT(/tmp/ld.py)를 다운로드하고 nohup으로 백그라운드 실행

• 3개 OS 모두 C2에 POST할 때 packages.npm.org/product{0,1,2}를 body로 보냄

  • 네트워크 로그에서 npm 레지스트리 통신처럼 보이게 하려는 위장 전술

자가 파괴 — 포렌식 회피

• 드롭퍼 실행 후 흔적을 완벽하게 지움
  • setup.js 자체를 fs.unlink로 삭제
  • 악성 package.json(postinstall 포함)을 삭제하고, 미리 준비해둔 깨끗한 package.md를 package.json으로 교체
  • 감염 후 node_modules/plain-crypto-js/package.json을 열어봐도 완전히 정상으로 보임
  • 하지만 node_modules/plain-crypto-js/ 디렉토리 자체가 존재하면 감염된 거임 — 정상 axios 버전에는 이 패키지가 없음

런타임 검증 — 실제 실행 확인

• StepSecurity가 Harden-Runner를 장착한 GitHub Actions 러너에서 실제 설치해봄
  • npm install 시작 후 2초 만에 C2 서버로 첫 번째 아웃바운드 연결 발생
  • 36초 후 다른 워크플로 스텝에서 두 번째 C2 콜백 발생 — nohup으로 분리된 프로세스가 독립적으로 살아있었다는 뜻
  • 프로세스 트리: npm → sh → node → sh → curl/nohup — 4단계 프로세스 간접 참조로 원래 npm install과의 연결고리를 끊음
  • nohup 프로세스의 ppid가 1(init) — 의도적으로 프로세스 트리에서 고아로 만들어 프로세스 어트리뷰션을 회피

영향 확인 및 대응

• 내 프로젝트가 영향 받았는지 확인하는 방법:

  • npm list axios | grep -E "1\.14\.1|0\.30\.4" 실행
  • node_modules/plain-crypto-js 디렉토리 존재 여부 확인
  • macOS: /Library/Caches/com.apple.act.mond / Linux: /tmp/ld.py / Windows: %PROGRAMDATA%\wt.exe 확인

• 대응 조치:

  • [email protected](1.x) 또는 [email protected](0.x)으로 다운그레이드 + overrides/resolutions로 고정
  • RAT 아티팩트 발견 시 인플레이스 클린업 시도 금지 — 시스템 전체를 known-good 상태에서 재구축
  • npm 토큰, AWS 키, SSH 키, 클라우드 크리덴셜, CI/CD 시크릿, .env 값 전량 로테이션
  • CI/CD에서 npm ci --ignore-scripts를 상시 정책으로 적용하여 postinstall 훅 차단

---

기술 맥락

• 이번 공격이 특히 무서운 이유는 npm의 "postinstall 훅" 구조 때문이에요. npm은 패키지를 설치할 때 의존성의 postinstall 스크립트를 자동으로 실행하거든요. 대부분의 프로젝트에서 이걸 끄지 않는 이유는, native addon 빌드(node-gyp 같은) 등 정상적인 용도가 많아서예요. 그런데 이게 공격 벡터로 쓰이면 npm install 한 번으로 임의 코드 실행이 가능해지는 거죠.

• OIDC Trusted Publisher라는 메커니즘이 왜 중요한지 이번 사건이 잘 보여줘요. 정상 릴리스는 GitHub Actions 워크플로에 암호학적으로 바인딩되어 있어서, 누군가 npm 토큰을 탈취해도 이 메커니즘 없이 퍼블리시하면 레지스트리 메타데이터에 차이가 남아요. 이번 1.14.1이 딱 그 케이스였고, 이게 탐지의 결정적 단서가 된 거예요.

• "phantom dependency" 패턴도 주목할 부분이에요. package.json에는 있지만 코드 어디에서도 import하지 않는 의존성이 있다면, 이건 postinstall 훅만 트리거하려는 목적일 확률이 높아요. 보안 도구들이 이런 패턴을 탐지 규칙에 추가하면 향후 유사 공격을 조기에 잡을 수 있겠죠.

• nohup으로 프로세스를 PID 1에 고아로 만드는 기법은, 컨테이너나 CI/CD 환경에서 프로세스 어트리뷰션을 무력화하려는 의도예요. 대부분의 모니터링 도구가 부모-자식 프로세스 트리를 추적하는데, 이걸 끊어버리면 "어떤 스텝에서 이 프로세스가 시작됐는지"를 알 수 없게 되거든요.