링크드인 채용 사칭 악성코드 주의! npm install 전에 package.json을 확인하세요.

링크드인(LinkedIn) 채용 담당자를 사칭한 악성코드 유포 시도 발생, GitHub 레포지토리(Repository)를 통해 악성코드 배포

npm install 실행 시, 구글 드라이브(Google Drive)에서 악성 스크립트(Malicious Script)를 다운로드하여 실행하는 5단계 공격

공격자는 구글 문서(Google Docs)를 C2 서버(C2 Server)로 활용, 기업 방화벽(Firewall) 우회 시도

Microsoft는 해당 공격을 북한 연계(North Korean) 해킹 그룹의 소행으로 분석, 유사 사례 보고

npm install --ignore-scripts를 통해 악성 스크립트 실행을 방지, 패키지 설치 전 package.json 검토 권장

본문에서 제시된 악성코드는 npm install 실행 시, 5단계 공격 체인(Attack Chain)을 통해 환경 변수를 탈취한다.

prepare 스크립트(Script)는 app/index.js를 실행, frontController.js를 require