북한 연계 해킹조직, 유명 오픈소스 4종 공격…클라우드 10%까지 영향

북한과 연계된 해킹조직이 전 세계 개발자들이 많이 쓰는 오픈소스 라이브러리 4개를 공격한 것으로 확인됐음

• 아마존 위협정보팀은 axios, debug, chalk, typo-crypto 공격이 모두 같은 조직의 소행이라고 공개함
• 이 조직은 보안업계에서 사파이어 슬릿, 스타더스트 천리마, 블루 노로프, 케이지 카멜리온 같은 이름으로 불림
• 기존에는 axios 공격만 이 조직과 연결된 것으로 알려졌는데, 이번에 나머지 3개도 같은 흐름으로 묶인 셈임

이게 위험한 이유는 공격 대상이 “개별 서비스”가 아니라 개발자들이 매일 가져다 쓰는 라이브러리라는 점임

• 오픈소스 라이브러리는 공통 기능을 빠르게 붙이기 위해 여러 프로젝트가 의존하는 구성 요소임
• 여기에 악성코드가 들어가면, 라이브러리를 직접 설치한 프로젝트뿐 아니라 그 아래에 딸린 하위 시스템까지 위험해짐
• 아마존도 소수의 인기 라이브러리만 해킹해도 수천 개 하위 시스템에 동시에 접근할 수 있다고 설명함

공격 대상 라이브러리들은 다운로드 규모부터가 큼

• 기사에 따르면 이 라이브러리들은 일주일에 수억 회씩 내려받는 인기 프로그램임
• axios는 HTTP 요청, debug는 디버깅 로그, chalk는 터미널 출력 스타일링처럼 개발 현장에서 흔히 쓰이는 영역과 맞닿아 있음
• 이런 패키지가 털리면 “우리 서비스는 북한 해커랑 상관없는데?” 같은 말이 별 의미가 없어짐

이번 보도는 오픈소스 공급망 공격이 왜 효율적인 공격 방식인지 잘 보여줌

• 개별 기관을 하나씩 공격하는 대신, 모두가 믿고 쓰는 라이브러리를 오염시키면 파급 범위가 훨씬 커짐
• 클라우드 환경에서는 배포 자동화와 의존성 설치가 빠르게 돌아가서 오염된 패키지도 빠르게 퍼질 수 있음
• 특히 CI/CD 파이프라인에서 의존성 버전을 느슨하게 잡아두면 이런 사고의 영향을 더 빨리 받을 수 있음

기사 후반에는 북한 해킹조직의 가상자산 공격 규모도 같이 언급됨

• 블록체인 보안업체 블록에이드는 올해 상반기 전 세계 가상자산 해킹 피해액을 11억 달러로 봄
• 그중 라자루스 그룹 산하 트레이더트레이터가 약 6억9000만 달러를 탈취해 전체의 55%를 차지한 것으로 분석함
• 오픈소스 공급망과 가상자산 탈취가 별개처럼 보여도, 개발 환경 침투가 자격증명 탈취와 자산 공격으로 이어질 수 있다는 점에서는 같은 선 위에 있음

한국 개발자에게도 남의 일이 아님

• axios, debug, chalk 같은 라이브러리는 국내 서비스 코드베이스에서도 흔히 볼 수 있음
• 보안팀만 패키지 뉴스를 보는 게 아니라, 개발팀도 lockfile, 패키지 무결성, 배포 파이프라인을 같이 봐야 하는 이유임
• “인기 패키지니까 안전하겠지”가 제일 비싼 착각이 될 수 있음