npm 패키지 Axios 해킹됨 — 북한 연계 해커, 주간 1억 다운로드 라이브러리에 백도어 삽입

사건 개요

• 북한 연계 해커 조직이 오픈소스 패키지 Axios를 해킹해 악성코드를 유포함
  • 구글 위협 인텔리전스 그룹(GTIG), FortiGuard Labs 등이 3월 31일 공격 정황을 발표함
  • Axios는 HTTP 요청을 간소화하는 자바스크립트 라이브러리로, 웹·모바일 서비스에서 광범위하게 사용됨

공격 방식과 백도어

• 해커가 Axios 패키지에 자바스크립트 형태의 악성코드를 삽입함
  • 조작된 패키지 설치 시 백그라운드에서 악성코드가 실행됨
  • 백도어 Waveshaper.V2가 다운로드되어 시스템 정보를 수집·전송함
    • 호스트 이름, 부팅 시간, OS 버전 등이 해커 서버로 유출됨
• GTIG는 UNC1069(북한 연계 해커 조직)의 소행으로 추정함
  • Waveshaper.V2는 UNC1069가 이전에 사용한 Waveshaper의 업데이트 버전임
  • 과거 UNC1069가 사용한 인프라와 중복되는 부분이 발견됨

반복되는 SW 공급망 공격

• 오픈소스를 경유한 공급망 공격이 계속 반복되고 있음
  • 2020년 솔라윈즈 사건: 네트워크 관리 솔루션 Orion이 해킹되어 전 세계 1만 8,000여 곳이 피해를 입음
  • 2025년 9월: 자바스크립트 패키지 18개가 피싱으로 탈취된 개발자 계정을 통해 감염됨 (주간 합산 26억 다운로드)
• 많은 개발자가 GitHub, npm 등 오픈소스 저장소에 의존하고 있어 공격 파급력이 큼
  • 악성코드가 유포되면 사이버보안 전반을 흔드는 도화선이 될 수 있음

대응: SBOM과 SCA 내재화

• 오픈소스 위협을 막기 위해서는 개발 단계에서의 보안 내재화가 필요함
  • 보안 팀이 솔루션을 도입해도 개발자가 문제되는 오픈소스를 들여오면 무용지물이 됨
  • 개발·운영 팀과 보안 팀 간 협업이 관건임
• 기업들이 SBOM 생성 체계 구축과 임직원 교육을 운영하고 있음
  • 알체라: 개발 과정에 SCA 도구를 내재화해 SBOM을 자동 생성하는 시스템을 구축함. Slack과 연계해 위험 상황을 채널에서 바로 확인 가능함
  • AI스페라: 위협 인텔리전스 플랫폼 'Criminal IP'의 개발·빌드·배포 전 과정을 SW 공급망 관점에서 재정의함

---

기술 맥락

• Axios가 왜 이렇게 큰 이슈인가요?
  • Axios는 자바스크립트 생태계에서 HTTP 클라이언트로 거의 표준처럼 쓰이는 라이브러리예요. React, Vue, Node.js 프로젝트 대부분에 들어가 있거든요. 주간 다운로드 1억 건이 넘는다는 건 그만큼 많은 프로젝트가 의존한다는 뜻이에요
• 3시간이면 짧은 거 아닌가요?
  • CI/CD 파이프라인에서는 코드가 푸시될 때마다 자동으로 npm install이 돌아가요. lockfile 없이 운영하는 환경이라면 3시간이라도 충분히 감염될 수 있거든요. 특히 ^1.14.0 같은 범위 지정을 쓰는 프로젝트는 자동으로 1.14.1을 받아갔을 가능성이 높아요
• lockfile이 있으면 안전한가요?
  • package-lock.json이나 yarn.lock에 정확한 버전과 integrity hash가 기록되어 있으면 이미 설치된 버전이 바뀌지 않아요. 하지만 lockfile을 갱신하는 타이밍에 걸렸다면 감염됐을 수 있어요. 그래서 SBOM으로 현재 설치된 패키지 버전을 빠르게 조회할 수 있는 체계가 중요한 거예요
• 확인 방법은요?
  • npm ls axios로 현재 설치된 버전을 확인하고, lockfile에서 해당 버전의 integrity hash를 검증하면 돼요. 감염된 버전이 설치되어 있었다면 node_modules 삭제 후 클린 설치하고, 시스템 로그에서 비정상 외부 통신이 있었는지 점검해야 해요