북한 ‘폴린라이더’, 개발자 면접 미끼로 악성 패키지 108개 유포

• 북한 연계 해커들이 개발자와 암호화폐 업계 종사자를 겨냥해 악성 패키지 108개를 유포한 정황이 나옴

  • 소켓의 최신 위협 분석 보고서에 나온 내용이고, 캠페인 이름은 ‘폴린라이더’임
  • 전체 악성 배포물은 162개, 그중 고유 패키지와 확장 프로그램이 108개로 집계됨

• 공격의 입구는 서버 취약점이 아니라 ‘가짜 채용 프로세스’였음

  • 공격자는 구인구직 SNS나 프리랜서 플랫폼에서 IT 기업 인사 담당자처럼 접근함
  • 화상 회의로 실제 기술 면접처럼 대화를 이어가며 신뢰를 쌓음
  • 이후 코딩 테스트나 실무 역량 평가를 핑계로 특정 오픈소스 패키지 설치와 실행을 유도함

• 악성 패키지를 설치하는 순간 백그라운드에서 스크립트가 실행되는 구조임

  • 브라우저 쿠키, 암호화폐 지갑 정보, 시스템 내부 접근 권한이 공격자에게 넘어갈 수 있음
  • 특히 개발자 단말은 소스 저장소, 클라우드 콘솔, 사내 도구 접근 권한이 얽혀 있어서 공격 가치가 큼

• 공격 범위도 꽤 넓음

  • npm 라이브러리 19개가 포함됨
  • 컴포저 패키지 10개도 확인됨
  • 고 모듈과 구글 크롬 확장 프로그램 1개까지 포함돼, 특정 언어 하나만 노린 공격이 아니었음

• 더 큰 문제는 오픈소스 저장소 자체를 오염시키는 방향으로 진화하고 있다는 점임

  • 공격자는 단순히 새 악성 패키지를 올리는 데서 그치지 않고, 오픈소스 메인테이너 계정 탈취까지 노림
  • 합법적인 저장소가 수정되면 사용자는 평소 쓰던 패키지를 업데이트했을 뿐인데 감염될 수 있음
  • 내부 방어망을 직접 뚫기보다, 외부 패키지와 개발자 단말을 통해 우회하는 방식임

• 소켓 연구원은 이 캠페인이 현재진행형이라고 경고함

  • 공격자가 레지스트리 접근 권한을 유지하거나 새로 얻는 한, 감염된 패키지 버전이 계속 올라올 수 있다는 설명임
  • 즉 한 번 목록에서 지웠다고 끝나는 문제가 아니라, 계정 권한과 배포 경로를 계속 봐야 하는 이슈임

• 실무적으로는 채용 과제와 외부 코드 실행을 분리해야 함

  • 개인 맥북이나 회사 업무 장비에서 바로 실행하는 관행은 위험도가 너무 커짐
  • 일회용 컨테이너, 격리된 가상 머신, 네트워크 제한, 토큰 없는 환경에서만 테스트 코드를 돌리는 식의 절차가 필요함

---

기술 맥락

• 이 캠페인이 까다로운 이유는 개발자가 스스로 코드를 실행하게 만든다는 점이에요. 방화벽을 뚫고 들어오는 게 아니라, 면접이나 과제라는 정상 업무 흐름 안에서 패키지 설치를 유도하거든요.

• npm, 컴포저, 고 모듈, 크롬 확장 프로그램까지 건드린 건 공격자가 특정 언어보다 개발자 권한 자체를 노렸기 때문이에요. 어떤 생태계든 개발자 단말에 접근하면 저장소 토큰, 클라우드 세션, 지갑 정보 같은 값이 나올 수 있어요.

• 메인테이너 계정 탈취가 특히 위험한 이유는 신뢰 모델을 뒤집기 때문이에요. 새로 생긴 수상한 패키지가 아니라, 원래 쓰던 저장소의 새 버전이 오염될 수 있으니 기존 화이트리스트만으로는 부족해져요.

• 그래서 대응도 보안팀만의 일이 아니에요. 채용 과제 운영 방식, 개발 장비 정책, 패키지 배포 권한, 브라우저 확장 프로그램 승인 절차가 같이 바뀌어야 실제 감염 경로를 줄일 수 있어요.