북한 정부의 지원을 받는 것으로 추정되는 해킹 조직이 전 세계 개발자들을 겨냥해 유명 소프트웨어 패키지를 정교하게 모방한 악성 프로그램을 유포한 사실이 드러났다.

실리콘밸리에 본사를 둔 글로벌 SW 기업 제이프로그(JFrog) 보안연구소는 자바스크립트 개발자들이 사용하는 공식 저장소 ‘npm’에서 정상 패키지와 거의 구분되지 않는 악성 패키지 6종을 발견했다고 밝혔다.

개발자들은 일반적으로 자주 쓰이는 기능을 직접 구현하지 않고, 공용 저장소에서 검증된 패키지를 내려받아 활용한다. 해커들은 이러한 개발 관행을 악용했다.

월 120만 건 이상 다운로드되는 인기 패키지를 그대로 복제한 뒤 악성코드를 삽입하고, ‘rollup-plugin-polyfill-node’와 혼동하기 쉬운 ‘rollup-packages-polyfill-core’, ‘rollup-runtime-polyfill-core’ 등 유사한 이름으로 게시했다. 패키지 설명서와 홈페이지 주소까지 원본과 같게 꾸며 육안으로는 사실상 구분이 어려웠다.

악성코드 탐지를 피하기 위한 우회 기법도 치밀했다. 실행 환경이 보안 위협을 감지하는 ‘샌드박스’일 경우 악성 기능을 비활성화하도록 설계했고, 악성 기능 일부는 정상 코드로 위장했다. 특히 핵심 악성코드를 패키지 내부에 포함하지 않고 설치·실행 시 외부 서버에서 내려받는 다단계 방식을 사용해 패키지 자체 검사만으로는 악성 여부를 판별하기 어렵게 했다.

이번 공격은 일반 이용자가 아닌 기업 시스템을 구축하는 개발자 컴퓨터를 거점으로 삼아 기업 전체 네트워크로 침투하는 ‘SW 공급망 공격’ 형태로 알려졌다. 감염된 개발자 PC를 통해 화면을 원격 감시하거나 시스템 통제권을 탈취하고, 가상화폐 지갑과 로그인 정보 등 민감 데이터를 빼내려 한 것으로 분석된다.

제이프로그 보안연구소는 공격 방식과 위장 수법, 정보 탈취·원격제어 기법 등이 미국 정부가 북한 연계 조직으로 규정한 ‘라자루스’의 기존 활동과 일치한다고 설명했다. 라자루스(Lazarus)는 김수키(Kimsuky), 안다리엘(Andariel)과 함께 북한 정찰총국 소속으로 알려진 대표적 해킹 조직이다. 라자루스는 지난해 국내 가상자산 거래소 업비트 해킹의 배후로도 지목되기도 했다.

npm 저장소에 올라온 일부 가짜 패키지는 긴급 조치를 통해 이미 차단됐다. 하지만 연구소는 “해당 패키지를 설치한 개발자와 기업은 피해 여부를 철저히 점검해야 한다”고 강조했다.