인섹시큐리티,‘오픈소스 공급망 보안 위협 증가’ 경고

[자료제공: 인섹시큐리티]

• 전 세계적으로 주간 3,100만 회 이상 다운로드되는 ESLint 오픈소스 해킹 확인
  
• 공급망 공격으로 전 세계 소프트웨어 개발 생태계 전반에 심각한 보안 위협으로 작용
  
• 각국 규제기관, SBOM 제출 요구 늘어나… 오픈소스·서드파티 의존성 관리가 핵심 과제로 부상
  
• '메타디펜더 소프트웨어 서플라이 체인(MetaDefender Software Supply Chain™)' - 잠재적 위협을 탐지해 투명성과 무결성 확보, 소프트웨어 공급망 전체 보호
  

디지털 포렌식, 모바일 포렌식, 드론 포렌식, 가상자산 추적 및 포렌식, 악성코드 및 침해사고 분석 대응 전문업체인 인섹시큐리티(대표 김종광, www.insec.co.kr)는 오늘, 주요 인프라 보호(CIP) 분야의 글로벌 리더인 옵스왓(OPSWAT)의 최근 연구를 통해 오픈소스와 서드파티(외부) 소프트웨어를 통한 공급망 공격 위험이 급격히 증가하고 있다고 경고했다.

요즘 소프트웨어는 모두 직접 개발하기보다는 npm, GitHub 같은 오픈소스 저장소에서 수많은 패키지(부품 같은 코드)를 가져와 조립해서 만든다. 이렇게 가져다 쓰는 오픈소스나 외부(서드파티) 코드가 많아질수록, 그 안에 악성 코드가 심어져 있으면 연쇄적으로 피해가 생기는 공급망 공격(Supply Chain Attack)이 발생할 수 있다.

실제로 옵스왓에 따르면 전 세계적으로 주간 3,100만 회 이상 다운로드되는 ESLint(전 세계 개발자들이 자바스크립트 코드 품질을 검사할 때 가장 많이 쓰는 오픈소스 도구) 관련 인기 오픈소스 패키지인 eslint-config-prettier가 공격에 악용된 사례가 확인됐다. ESLint 오픈소스 해킹 사례는 '공급망 공격이 전 세계 소프트웨어 개발 생태계 전반에 심각한 보안 위협으로 작용'할 수 있음을 시사한다.

공격 방식은 비교적 단순했다. 해커들이 npm 공식 메일을 위장한 피싱 이메일을 보내 유지보수 관리자의 액세스 토큰(권한)을 탈취했다. 이후 이를 이용해 허가되지 않은 악성 버전(8.10.1, 9.1.1, 10.1.6, 10.1.7)을 npm 레지스트리에 배포했으며, 동일 관리자가 맡은 다른 패키지(eslint-plugin-prettier, synckit 등)도 함께 악성 코드에 감염됐다. 특히 해당 패키지는 설치 시 자동 실행되는 install.js 스크립트를 포함하고 있었으며, 이는 윈도우 환경에서 rundll32 명령을 호출해 DLL 기반 악성 행위를 수행하도록 만들어졌으며, 이를 통해 공격자는 피해자의 PC를 손쉽게 장악할 수 있었다.

이번 사례는 단 한 번의 피싱 공격이 수백만 프로젝트에 연쇄적인 피해를 줄 수 있음을 보여준다. 최근 소프트웨어 개발이 수많은 외부 오픈소스 패키지에 의존하는 만큼, 공급망을 통한 공격은 점점 더 빠르게 확산되고 있으며 위험성도 커지고 있다. 이런 배경에서 각국 규제 기관은 기업들에게 SBOM(Software Bill of Materials, 소프트웨어 자재명세서) 제출을 요구하는 추세다. 이는 소프트웨어에 포함된 오픈소스·서드파티 구성 요소를 명확히 파악해, 취약점이나 보안 사고가 발생했을 때 신속히 대응하기 위함이다.

옵스왓의 공급망 보호 솔루션 '메타디펜더 소프트웨어 서플라이 체인(MetaDefender Software Supply Chain™)'은 악성코드, 취약점, 하드코딩된 자격 증명 등 잠재적 위협을 탐지해 투명성과 무결성을 확보하며, 소프트웨어 공급망 전체를 보호한다. 오픈소스 및 써드파티 구성 요소를 포함한 모든 소프트웨어 라이브러리를 스캔하여 보안 위협 및 취약점을 식별함으로써 DevSecOps 파이프라인을 강화한다.

• SBOM 분석: 의존성을 자동으로 스캔하고 이 공격과 관련된 알려진 취약점(예: CVE-2025-54313)을 표시한다.

• 다중 안티바이러스 탐지: 메타스캔 멀티스캐닝(MetaScan™ Multiscanning)을 통해 30개 이상의 통합 안티멀웨어 엔진을 사용하여 node-gyp.dll과 같은 난독화된 멀웨어를 탐지한다.

• 소스 리포지토리 통합: 깃허브(GitHub), 깃랩(GitLab) 및 제이프로그 아티팩토리(JFrog Artifactory)와 통합되어 패키지 무결성을 지속적으로 검사하고 검증한다.

옵스왓은 SC 미디어 어워드의 ▲최우수 공급망 보안 솔루션(Best Supply Chain Security Solution) ▲최우수 전문 인증 프로그램(Best Professional Certification Program) 부문에서 파이널리스트로 선정되며 기술 혁신성과 업계 기여를 인정받기도 했다.

옵스왓의 국내 총판 인섹시큐리티 김종광 대표는 "오픈소스 생태계는 신뢰에 기반하지만 이번 사례에서 볼 수 있듯 단 한 번의 사회공학 공격 성공만으로도 수백만 개의 하위 프로젝트에 영향을 미칠 수 있다"고 경고하며 "공급망 공격은 점점 더 지능화되고 개인화 된 타겟을 노리고 있는 만큼 의존성 스캔은 물론 이메일 무해화(email sanitization) 같은 사전 예방적 보안 조치는 더 이상 선택 사항이 아니라 필수 요건이다"라고 조언했다.

인섹시큐리티 로고

옵스왓(OPSWAT) 로고

인섹시큐리티, '오픈소스 공급망 보안 위협 증가' 경고