신뢰받는 도메인의 함정
최근 해커들이 오픈소스 패키지 관리 생태계인 NPM(Node Package Manager)을 악용하여 악성코드를 직접 유포하는 기존 방식을 넘어, 피싱 페이지를 무료로 호스팅하는 새로운 형태의 공급망 공격을 감지했다.
보안 플랫폼인 OX Security의 조사에 따르면, 현재까지 최소 24개의 허위 NPM 패키지가 이러한 목적으로 업로드된 것이 확인되었다.
OX Security 연구원인 Moshe Siman Tov Bustan과 Vitalii Chepurko가 밝힌 바에 따르면, 이 캠페인의 목적은 개발자들을 직접 감염시키는 것이 아닌, 24개의 npm 패키지가 unpkg와 같은 CDN/미러 서비스를 악용하여 가짜 클라우드프레어(Cloudflare) CAPTCHA 페이지를 호스팅하는 새로운 피싱 캠페인이 발견되었다.
이 24개의 npm 패키지들을 기기에 다운로드하고 설치하는 것 자체는 직접적인 피해를 주는 방식이 아니다. 공격자들의 진짜 목적은 개발자를 감염시키는 것이 아니라, npm 레지스트리와 그 미러 사이트들을 멀웨어의 안전하고 검증된 저장소(Free Storage)로 악용하는 데 있다.
https://www.ox.security/blog/research-clickfix-phishing-npm-packages/
ClickFix Phishing Pages Discovered in 24 npm Packages
OX Research uncovered dozens of malicious npm packages using trusted mirror sites like unpkg to host fake CAPTCHA pages that redirect victims to ClickFix phishing infrastructure.
www.ox.security
공격의 핵심 메커니즘
OX Security 연구팀은 npm 레지스트리를 통해 유포되는 가짜 Cloudflare 캡차(Captcha) 캠페인을 추적 중이며, 동일한 악성 코드를 공유하는 총 24개의 서로 다른 악성 패키지를 발견했다. 각 패키지는 삭제되기 전까지 대개 주당 50~300회의 다운로드 수가 확인 되었다.
개발자들을 직접 감염시키는 것이 아닌
피싱 페이지를 무료로 호스팅하는 새로운 형태의 공급망 공격
1. 빈 패키지와 HTML 파일
말그대로 개발자들을 공격하는 것이 아니기에 공격자들이 업로드한 패키지들은 컴퓨터를 직접 감염시키는 코드를 포함하지 않는다.
유용한 기능도, 겉보기에는 명백한 악성코드도 없고 단 하나의 HTML 파일만 포함하고 있다.
2. 인프라 악용 목적
그러나 이 HTML 파일인 패키지 자체에 악성코드가 포함된 단 하나의 HTML 페이지만 존재하며, 다운로드하더라도 개발자의 PC에 직접적인 피해를 주지 않는다.
3. NPM 미러 서버 악용
패키지들은 unpkg, yarn, npmmirror, tencent 같은 사이트를 통해 자동으로 미러링되는데, 개발자가 새로운 NPM 패키지를 올리면 unpkg, Yarn, npmmirror, Tencent 등 다양한 미러 서버가 이를 자동으로 수집한다.
많은 미러 서버들은 전체 패키지를 압축 아카이브 형태로 제공하는 대신, 이 중 일부는 단순한 패키지 .tgz 압축 파일뿐만 아니라 패키지 파일(개별 파일)들을 서버에 직접 노출시킨다.
4. 신뢰할 수 있는 도메인 우회
보안이 유지되는 신뢰할 수 있는 웹사이트(npm 미러 사이트)에 있는 해당 링크를 여는 누구나 완벽하게 렌더링된 HTML 페이지를 보게 된다.
해커들은 이 점을 노려 유명하고 신뢰할 수 있는 미러 서버의 도메인(예: unpkg 등)을 무료 호스팅 서버처럼 사용하여 보안 탐지를 우회하고 있다.
5. 무단 저장소 활용
unpkg.com/패키지명@버전/index.html 형태의 주소를 통해 완전히 렌더링된 가짜 클라우드프레어 CAPTCHA 페이지를 제공한다. 이 페이지들은 신뢰할 수 있는 도메인 위에서 호스팅되므로 사용자를 쉽게 속일 수 있다.
공격자들은 npm 레지스트리와 그 미러(unpkg 등)를 신뢰할 수 있는 도메인에 거쳐 악성코드를 위한 안전하고 검증된 '무료 저장소'로써 활용하고 있다.
결과적으로 이는 공격자들이 악성 HTML 페이지 및 기타 페이로드를 호스팅할 수 있는 무료 프론트엔드 호스트 역할을 하게 된다. 예시 : URL: https://unpkg.com/ndmxchdjxn2@1.0.0/index.html
주요 공격 사례 및 특징
우회 및 리다이렉트 흐름 (DDR 활용) 은 아래와 같다.
1. 가짜 Cloudflare CAPTCHA 페이지 와 ClickFix
OX Security가 발견한 24개 이상의 패키지에는 단일 HTML 파일이 포함되어 있으며, 미러링 과정을 거치면 웹상에서 완벽하게 렌더링된 가짜 Cloudflare 보안 인증(CAPTCHA) 페이지로 변환된다.
링크를 연 피해자는 가짜 클라우드프레어 검증 페이지를 보게 되며, 의도치 않은 행동(ClickFix 스타일의 공격 또는 자격 증명 수집)으로 유도된다.
2. 피싱 및 멀웨어 유도
피해자가 이 링크를 클릭하면 가짜 보안 인증 과정을 거치게 되며, 이후 멀웨어를 배포하는 가짜 웹사이트로 리다이렉트된다.
3. 사용된 주요 피싱 도메인 (초기 피싱)
공격에 활용된 도메인 중에는 login.microsofte.live, login.microlive.org 등이 포함되어 마이크로소프트 등을 사칭한 것으로 나타났다.
초기 악성코드는 마이크로소프트 로그인 페이지를 사칭하는 타이소스쿼팅 도메인(login.microsofte.live)으로 요청을 보냈다.
이 도메인들은 첫 공격 웨이브 이후 블랙리스트에 올랐다.
4. Key-Value (데드 드롭 리졸버) 전환으로 악용
멀웨어의 최신 버전에서는 원격 서버로부터 암호화된 값을 가져와 복호화한 뒤 특정 URL로 접속하는 방식을 취하기 위해 합법적인 키-값 저장소 도메인인 https://api.keyval.org를 활용하는 것으로 확인되었다.
해당 도메인이 구글 크롬 세이프 브라우징(Safe Browsing) 차단 목록에 등재되자, 공격자들은 개발자들이 키-값 쌍을 저장하거나 REST API로 가져올 수 있는 무료 공개 키-값 저장소인 KeyVal (api.keyval.org)로 전환했다.
5. 최종 리다이렉트
이를 통해 해당 서비스를 데드 드롭 리졸버(DDR)로 사용하여 피해자가 리다이렉트될 URL을 추출하고 해독한다.
현재 원격 로직은 사용자들을 합법적인 ChatGPT 웹사이트로 보내고 있지만, 공격자의 설정에 따라 언제든지 ClickFix나 다른 피싱 도메인으로 무기화될 수 있다.
악용된 24개 npm 패키지 목록
보안 연구원들이 공개한, 일부는 여전히 다운로드 가능한 악성 패키지 목록은 다음과 같습니다.
- bgzxcuite2
- prezdentkxheiw
- egair0810
- mnteckets
- airdzticket
- egypt0811
- passport811
- vxhjkseuiaqkb
- ndmushdkeqe
- ndmxchdjxn2
- ndmfguyhoxc3
- mjsdqwocvn
- m2fcsfyjkuxb
- m3fdfocdoewn
- @worrisome/reutil
- testdgdbcsd
- tesgfvbncsdbcv
- mndsxcusiwlk1
- mn2adskhweox
- mn3sadkoiewu
- mn4xcouzvhus
- mbxcnsuwgs1
- skxcmwuncbg2
- mobiwaefhxc3
과거 유사 사례
이러한 접근 방식이 처음 시도된 것은 아니다.
- 2025년 10월, Socket은 Beamglea라는 암호명 아래 자격 증명 수집 페이지로 피해자를 라우팅하는 리다이렉트 스크립트를 호스팅하기 위해 unpkg.com CDN을 악용한 175개의 npm 패키지 세트를 상세히 분석한 바 있다.
- OX Security는 위협 행위자들이 단순히 머신에서 데이터를 훔치는 전통적 방식뿐만 아니라, npm 및 그 미러를 무료 저장소 및 영구적인 지속성(persistence) 확보 수단으로 악용하는 새로운 기법을 계속해서 찾아내고 있다고 경고했다. 공식 저장소에서 패키지가 삭제되더라도 미러에는 영원히 남아있을 수 있다는 점이 큰 위협될 수 있다.
보안 업계의 경고 및 시사점
NPM은 최근 몇 년간 개발자들을 겨냥한 소프트웨어 공급망 공격의 주요 표적이 되어 왔다. 그러나 이번 공격은 패키지를 설치해 컴퓨터를 감염시키는 전통적인 방식에서 벗어나, NPM 미러 서버의 인프라를 무료 웹 호스팅 공간이자 페이로드 저장소로 악용한다는 점에서 매우 독특하고 새로운 수법으로 볼 수 있다.
공식 NPM 저장소에서 악성 패키지가 삭제되더라도, 미러 서버에는 패키지가 영구적으로 남아있을 수 있으며, 공격자들은 언제든 새로운 도메인과 결합해 재사용하거나 ClickFix 같은 새로운 사기 수법에 재활용할 수 있어 지속적인 주의와 철저한 모니터링이 요구다.
출처 및 참고
https://www.ox.security/blog/research-clickfix-phishing-npm-packages/
https://cybernews.com/security/hackers-weaponize-npm-packages-for-phishing/
https://thehackernews.com/2026/08/24-npm-packages-abuse-unpkg-mirrors-to.html
'IT 소식 (CS, AI 위주)' 카테고리의 다른 글
| 55만 원짜리 AI 오리 로봇 '마이크로덕(Microduck)' 모든 정보 정리 (허깅페이스 오픈소스 로봇) (0) | 2026.08.31 |
|---|---|
| AI의 해킹 능력이 심각하게 과소평가되어 있다? (1) | 2026.08.31 |
| 챗GPT를 좀 더 똑똑하게! 천재적 사고 공식화 프롬프트 (0) | 2026.08.19 |
| [보안] 패스트캠퍼스 운영사 '데이원컴퍼니' 개인정보 유출 사고 발생 (비밀번호 변경 권고) (0) | 2026.06.11 |
| AI의 중독성과 맹목적 수용 + 문해력 저하의 바이러스? (0) | 2026.06.07 |