314개 npm 패키지, 공급망 공격으로 AWS 키, GitHub 토큰 등 탈취
by DD
2개월 전
조회수 460
atool 계정 탈취로 314개 npm 패키지에 악성 코드 삽입, 22분 만에 631개 버전 배포
AWS 키, GitHub 토큰, SSH 키, 데이터베이스 연결 문자열 등 광범위한 자격 증명 탈취 시도
Docker 컨테이너 탈출 및 CI/CD 환경에서의 지속적인 감염 시도
semver 범위(range) 사용 시 악성 버전 자동 설치 가능성, 잠재적 피해 규모 큼
공격 방식: 악성 코드 삽입 및 CI/CD 환경 장악
공격자는 탈취한 atool 계정을 이용하여 314개의 npm 패키지에 악성 코드를 삽입했다. 특히, preinstall hook을 활용하여 패키지 설치 시 악성 코드가 실행되도록 했다. 또한, GitHub Actions OIDC 토큰을 악용하여 CI/CD 파이프라인에서 npm publish 토큰을 획득하고, Sigstore를 사용하여 위조된 서명을 생성하는 등, 공격의 지속성을 확보하려 했다. 이러한 공격은 개발 환경뿐만 아니라, CI/CD 환경까지 위협하는 정교함을 보여준다.
피해 규모: 광범위한 자격 증명 탈취 시도
공격의 목표는 AWS 키, GitHub PAT, 데이터베이스 연결 문자열, SSH 키, Vault 토큰, Kubernetes 서비스 계정 토큰 등 다양한 자격 증명을 탈취하는 것이다. 특히, Docker 소켓 접근을 통해 컨테이너 탈출을 시도하고, 호스트 파일 시스템에 접근하려는 시도도 있었다. 탈취된 정보는 GitHub API를 통해 외부로 유출되었으며, 이는 공격의 은밀성을 높이는 전략으로 분석된다. 을 적용하는 것이 중요해 보인다.
