SentinelOne, LiteLLM 공급망 공격 실시간 차단 및 Axios·Chrome 보안 위협 보고

섹션별 상세

공격자가 PyPi 자격 증명을 탈취해 LiteLLM의 악성 버전을 게시하고 크로스 플랫폼 페이로드를 배포했다. SentinelOne의 행동 기반 AI는 서명이나 수동 개입 없이 베이스64 디코딩 페이로드와 같은 의심스러운 실행 패턴을 감지했다. 탐지 후 44초 만에 전체 프로세스 체인을 종료함으로써 데이터 유출 및 Kubernetes 클러스터로의 측면 이동 시도를 무력화했다. 이는 AI 기반 공격에 대응하기 위해 자율적인 행동 분석 시스템이 필수적임을 보여준다.

LiteLLM 공급망 공격에 대한 SentinelOne의 실시간 완화 흐름도이다. — Diagram공격자가 악성 LiteLLM 버전을 배포했을 때, SentinelOne 플랫폼이 행동 분석을 통해 악성 페이로드 실행을 감지하고 44초 만에 프로세스를 종료하는 과정을 시각화했다. 이는 서명 기반 탐지가 아닌 런타임 행동 분석의 효과를 입증한다.

Axios 버전 1.14.1 및 0.30.4에서 코어 유지 관리자의 npm 계정 탈취를 통해 삽입된 악성 의존성이 발견됐다. 해당 악성 패키지는 설치 후 스크립트를 통해 macOS, Windows, Linux용 원격 제어 트로이 목마(RAT)를 다운로드하고 실행한다. 공격은 고도로 조정되어 각 플랫폼에 맞춘 C++, PowerShell, Python 변종을 사용하며 시스템 정찰 및 데이터 탈취를 수행한다. 사용자는 즉시 안전한 버전(1.14.0 또는 0.30.3)으로 다운그레이드하고 관련 자격 증명을 교체해야 한다.

Axios 공급망 공격의 단계별 작동 방식을 설명하는 다이어그램이다. — Diagramnpm 패키지 설치부터 postinstall 후크 실행, C2 서버 연결을 통한 플랫폼별 RAT 다운로드, 그리고 흔적을 지우기 위한 자가 삭제 및 정상 파일 복구 과정을 상세히 보여준다. 공격의 은밀함과 정교함을 이해하는 데 핵심적인 정보를 제공한다.

Chrome 브라우저의 WebGPU 표준 구현체인 Dawn에서 'use-after-free' 버그(CVE-2026-5281)가 발견되어 실제 공격에 악용 중이다. 이 취약점은 렌더러 프로세스가 침해된 상태에서 특수하게 제작된 HTML 페이지를 통해 임의 코드를 실행할 수 있게 한다. Google은 기술적 세부 사항을 비공개로 유지한 채 긴급 보안 업데이트를 출시했으며, 이는 2026년 들어 네 번째로 발견된 활성 악용 제로데이이다. 모든 Chromium 기반 브라우저 사용자는 최신 버전으로 업데이트하여 메모리 손상 및 원격 코드 실행 위험을 방지해야 한다.

기술

LiteLLM
Axios
SentinelOne Singularity
Chrome Dawn
WebGPU

활용 사례

실시간 공급망 공격 탐지 및 차단
브라우저 제로데이 취약점 대응
악성 npm 패키지 식별 및 제거

언급된 리소스

문서SentinelOne Singularity Platform

문서CVE-2026-5281 Detail