북한 해커가 오픈소스 저장소에 심은 108개의 덫, PolinRider 캠페인이 노린 건 개발자였다

이미지 출처: The Hacker News

어느 프리랜서 개발자가 채용 담당자라는 사람에게서 링크 하나를 받는다. "우리 서비스에 버그가 있는데, 이 패키지 설치해서 한번 봐줄 수 있나요?" 이력서 심사 겸 코딩 테스트라는 명목이었다. npm install을 치는 순간, 그 노트북에 저장된 암호화폐 지갑과 브라우저 세션이 바다 건너로 흘러갔다. PolinRider라는 이름으로 묶인 이번 캠페인의 전형적인 시작 장면이다.

핵심 요약

• 북한 연계 위협 그룹이 npm·PyPI 같은 공개 저장소와 편집기 확장 마켓에 108개에 달하는 악성 패키지를 뿌린 정황이 드러남.
• 표적은 일반 사용자가 아니라 개발자·구직자이며, 가짜 채용·코딩 테스트를 미끼로 설치를 유도함.
• 방어의 핵심은 '유명해 보이는 이름'을 믿지 말고, 설치 단계에서 실행되는 스크립트와 외부 통신을 차단·관측하는 것.

왜 개발자를 노리는가

일반 피싱은 아무나 낚는다. 그런데 이번 방식은 결이 다름. 개발자 한 명의 노트북에는 회사 소스코드, 클라우드 액세스 토큰, CI/CD 자격증명, 그리고 요즘은 암호화폐 지갑까지 함께 들어 있는 경우가 많음. 즉 한 명을 뚫으면 그 뒤의 조직 전체가 열림. 북한 계열 그룹이 'Contagious Interview'류의 가짜 면접 시나리오를 몇 년째 우려먹는 이유가 바로 이 가성비에 있는 것 같다.

108개 패키지, 어떻게 숨어들었나

공급망 공격의 뼈대는 단순함. 정리하면 이런 흐름임.

• 이름 위장(typosquatting): 널리 쓰이는 라이브러리와 한 글자 차이 나는 이름을 올려, 오타나 급한 손을 노림.
• 설치 훅 악용: npm의 postinstall처럼 설치만 해도 자동 실행되는 스크립트에 악성 로직을 끼워 넣음. 코드를 import 하지 않아도 이미 늦음.
• 2단계 다운로더: 첫 패키지는 겉보기에 멀쩡하고, 실제 정보 탈취 도구는 외부 서버에서 내려받아 실행함. 정적 검사만으론 걸러내기 어려움.
• 편집기 확장 통로: 코드 저장소뿐 아니라 VS Code류 확장 마켓까지 배포 경로로 씀. 개발 환경 안쪽까지 파고드는 구조.

패키지 개수가 100개를 넘는다는 건 하나가 지워져도 다음 것으로 갈아타는 '물량전'을 하고 있다는 뜻임. 계정을 만들고 이름만 바꿔 다시 올리는 비용이 워낙 싸다 보니, 방어자는 개별 패키지 삭제가 아니라 패턴 자체를 막아야 함.

방어자 관점의 탐지·완화 순서

개인적으로는 '설치 이전'과 '설치 이후'를 나눠서 보는 걸 추천함. 대응은 대략 이 순서로 밟으면 됨.

• 설치 전 검증: 패키지의 배포일·다운로드 추이·유지보수자 이력을 확인함. 어제 만들어진 계정이 올린, 별점 하나 없는 라이브러리는 일단 의심.
• 락파일 고정: package-lock.json·requirements.txt로 버전을 못 박고, npm ci처럼 재현 가능한 설치만 CI에 허용함.
• 설치 스크립트 차단: 신뢰 못 하는 의존성은 --ignore-scripts로 postinstall 자동 실행을 막고, 필요한 것만 골라 켬.
• 격리 환경 우선: 출처 불명 코드는 반드시 컨테이너나 일회용 VM에서 먼저 돌림. "면접 과제"라며 받은 프로젝트는 절대 본체 노트북에서 바로 실행하지 않음.
• 이상 통신 관측: 설치 직후 낯선 도메인으로 나가는 아웃바운드 연결이 생기는지 봄. 정보 탈취형은 결국 데이터를 밖으로 빼야 하므로 이 지점에서 꼬리가 잡힘.
• 비밀정보 회전: 조금이라도 실행된 정황이 있으면 지갑·토큰·SSH 키를 미련 없이 갈아엎음. 이미 새 나간 자격증명은 지운다고 돌아오지 않음.

결국 사람이 마지막 방어선

기술적 통제를 아무리 깔아도, "이 파일 실행해 주세요"라는 채용 담당자 앞에서 무너지면 소용이 없음. 정상적인 채용 절차는 지원자에게 낯선 바이너리를 로컬에서 돌리라고 요구하지 않는다는 것, 이 감각 하나만 있어도 상당수는 걸러짐. 오픈소스는 여전히 우리 편이지만, 그 신뢰를 노리고 108개의 덫을 깔아둔 사람들이 있다는 것도 잊지 말아야겠다. 각자 쓰는 저장소 설정부터 오늘 한번 점검해 보아요. 나만의 체크리스트가 있다면 댓글로 공유해 주세요, 같이 다듬어 봅시다.