Axios npm 패키지 Supply Chain Attack 분석 및 대응 가이드

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

2026년 3월 31일, 주간 6,000만 회 이상 다운로드되는 npm 패키지 Axios(1.14.1)가 악성 의존성 plain-crypto-js를 통해 Supply Chain Attack을 받았다. 이 공격은 단순 정보 탈취를 넘어 macOS, Windows, Linux 각 운영체제에 맞춤형 Backdoor를 설치하고 Remote Access Trojan(RAT)을 배포하는 고도화된 방식을 취했다. 공격자는 XOR 암호화와 Base64를 혼합해 탐지를 회피했으며, 감염 후에는 스스로 흔적을 지우는 Anti-forensics 기법을 사용했다. Comet 팀은 Lockfile 사용과 신속한 스캔을 통해 피해를 방지했으며, 커뮤니티를 위해 오픈소스 스캔 스크립트와 구체적인 복구 절차를 공유했다. 이번 사례는 오픈소스 의존성 관리에서 Deterministic build와 신속한 사고 대응 체계의 필수성을 입증했다.

배경

npm 패키지 관리 이해, 기본적인 쉘 명령어 사용 능력

대상 독자

npm 패키지를 사용하는 자바스크립트/타입스크립트 개발자 및 보안 담당자

의미 / 영향

이번 공격은 오픈소스 생태계의 신뢰 기반을 위협하며, Lockfile 관리와 의존성 핀 고정의 중요성을 다시 한번 각인시켰다. 특히 AI/ML 분야에서 널리 쓰이는 라이브러리들이 연이어 타겟이 되고 있어 개발자들의 각별한 주의가 요구된다.

섹션별 상세

Axios 1.14.1 버전에 포함된 plain-crypto-js@4.2.1 악성 의존성이 공격의 핵심 경로였다. Axios의 Semantic Versioning 설정을 악용해 Lockfile이 없는 프로젝트에 자동으로 침투했다. setup.js를 통해 XOR 암호화와 역순 Base64로 난독화된 Payload를 실행하여 보안 탐지를 회피했다. 이는 개발자가 신뢰하는 패키지 매니저의 자동 업데이트 메커니즘을 정밀하게 타격한 사례이다.

Dropper는 감염된 시스템의 OS를 식별하여 macOS, Windows, Linux에 최적화된 Backdoor를 각각 배포했다. macOS에서는 Apple 시스템 데몬으로 위장하고, Windows에서는 PowerShell과 VBScript를 활용해 사용자 몰래 실행됐다. 설치된 RAT은 60초 간격으로 C2 서버와 통신하며 시스템 정보 수집 및 임의 명령 실행 권한을 공격자에게 부여했다. 단순한 데이터 탈취를 넘어 지속적인 시스템 제어권을 확보하는 고도화된 공격 양상을 보였다.

Comet은 전사적 리포지토리 감사와 오픈소스 스캔 스크립트 배포를 통해 즉각적인 대응 체계를 가동했다. 조사 결과 package-lock.json 등 Lockfile을 사용한 프로젝트들은 악성 버전으로의 자동 업데이트가 차단되어 안전했다. 공격자가 실행 후 흔적을 지우는 Anti-forensics 기법을 사용했음에도 불구하고, 빌드 로그와 네트워크 비콘 분석을 통해 무결성을 검증했다. 신속한 탐지와 인프라 스캐닝 도구의 사전 확보가 피해 최소화의 결정적 요인이었다.

bash

bash <(curl -sL https://gist.githubusercontent.com/Nimrod007/13ad665e473221b4d5da7a85f26c79c5/raw/check_axios_compromise.sh)

Comet에서 공개한 Axios 감염 여부 확인용 오픈소스 스캔 스크립트 실행 명령어

bash

# Search for the malicious dependency in lockfiles
grep -r "plain-crypto-js" ~/path/to/your/projects/

# Check if any lockfile resolves axios to 1.14.x
grep "axios/-/axios-1.14" ~/path/to/your/projects/**/package-lock.json

Lockfile 내 악성 패키지 및 취약한 Axios 버전 포함 여부를 확인하는 grep 명령어

bash

# Check for the malicious package installed anywhere
find ~ -maxdepth 6 -name "node_modules" -type d -exec test -d "{}/plain-crypto-js" \; -print

로컬 환경의 node_modules 디렉토리에서 악성 패키지 설치 여부를 전수 조사하는 명령어

실무 Takeaway

Lockfile(package-lock.json, yarn.lock)을 반드시 버전 관리 시스템에 포함하고, CI/CD 환경에서는 npm ci를 사용하여 의존성 변동을 차단해야 한다.
감염이 확인된 경우 단순히 패키지를 삭제하는 것에 그치지 말고, OS별 Backdoor 설치 경로(예: /Library/Caches/com.apple.act.mond)를 확인하고 모든 자격 증명을 교체해야 한다.
중요도가 높은 의존성은 캐럿 범위(^) 대신 정확한 버전 번호로 고정하여 예기치 않은 악성 업데이트의 자동 유입을 방지하는 것이 안전하다.

언급된 리소스

GitHubAxios Compromise Scanner Script

문서LiteLLM Supply Chain Attack Analysis

Axios npm 패키지 Supply Chain Attack 분석 및 대응 가이드

핵심 요약

배경

대상 독자

의미 / 영향

섹션별 상세

실무 Takeaway

언급된 리소스

관련 토론

댓글

관련 피드

관련 토론

댓글

관련 피드