Fake Web3 Accelerator Uses npm Packages to Spread Malware and Hijack AI Agent Traffic

핵심 요약

가짜 Web3 액셀러레이터가 AI 크레딧, 코딩 도구 등을 미끼로 악성 npm 패키지를 통해 Windows 및 macOS 시스템에 정보 탈취 악성코드와 백도어를 유포하는 공격이 관찰되었습니다. 이는 소프트웨어 공급망 공격(Supply Chain Compromise, T1195)의 일종으로, 개발자들이 사용하는 npm 라이브러리에 악성코드를 삽입하여 Initial Access(TA0001)를 확보하고, 최종 사용자 시스템에 정보 탈취 악성코드 및 백도어를 설치하는 Malicious Library(T1204.005) 기법을 활용합니다. IT 감사인은 개발 환경의 보안 취약점과 소프트웨어 공급망 전반에 대한 통제 미비점을 점검하고, 개발자 대상 사회공학적 공격에 대한 인식을 제고할 필요가 있음을 시사합니다.

개선 권고안

• ✔기술적 조치개발 환경에서 사용되는 모든 외부 라이브러리 및 오픈소스 컴포넌트에 대해 정기적인 보안 취약점 점검을 수행하고, 알려진 취약점이 포함된 패키지는 즉시 업데이트하거나 대체할 것을 권고함.
• ✔기술적 조치개발자 워크스테이션 및 개발 서버에 EDR(Endpoint Detection and Response) 솔루션을 도입하고, 최신 위협 정보에 기반하여 악성코드 탐지 및 차단 규칙을 지속적으로 고도화할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 강화를 위한 정책 및 절차를 수립하고, npm 등 패키지 관리 도구를 통한 외부 라이브러리 도입 시 보안 검토 및 승인 프로세스를 의무화할 것을 권고함.
• ✔관리적 조치임직원, 특히 개발자를 대상으로 사회공학적 공격(피싱, 미끼) 및 소프트웨어 공급망 공격의 위험성에 대한 최신 보안 교육을 정기적으로 실시하고, 교육 효과를 측정하여 보안 인식을 제고할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기