북한 해커, 깃허브 1,951개 레포지토리 공격…폴린라이더 캠페인 전모

피해 규모와 확산 속도

• 감염된 GitHub 저장소: 1,951개 (1,047명의 개인/조직 소유)
• 5주 만에 피해 3배 증가
• 악성 npm 패키지: 1,700개 이상 게시

표적 생태계

• npm (Node.js): dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, debug-glit 등
• PyPI (Python): logutilkit, apachelicense, fluxhttp, license-utils-kit 등
• Go (모듈 미러): github.com/golangorg/formstash, github.com/aokisasakidev/mit-license-pkg 등
• Packagist (PHP/Composer): 2026년 7월부터 본격 확산
• Rust (crates.io): logtrace 등
• GitHub Actions & VS Code 확장: .vscode/tasks.json 및 CI/CD 파이프라인 침투

Axios 라이브러리 감염 사고

2026년 4월, PolinRider 캠페인은 전 세계 주간 다운로드 약 1억 회를 기록한 인기 npm 라이브러리 Axios(버전 1.14.1 및 0.30.0)를 감염시켰습니다. 공격자는 plain-crypto-js라는 악성 의존성을 주입했습니다.

4단계 감염 체인

1단계: 설정 파일에 난독화된 자바스크립트 로더 삽입

공격자는 postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs 같은 정상 설정 파일 맨 끝에 고도로 난독화된 자바스크립트를 덧붙입니다. 악성 코드 라인은 과도한 공백으로 밀어내어 기본 IDE 화면 너비 밖에 위치하므로 코드 리뷰 중 육안으로 발견하기 어렵습니다.

2단계: 정교한 은닉 수법

• 가짜 .woff2 폰트 파일: 난독화된 자바스크립트를 웹 폰트 파일 형식으로 위장. 개발자가 바이너리 폰트 파일을 직접 검사하는 경우는 드뭅니다.
• 공백 패딩(Whitespace padding): 실행 가능한 코드를 화면 가시 영역 오른쪽으로 밀어냅니다.
• Git 히스토리 위조(ForceMemo 모듈): 악성 커밋의 날짜를 수개월 전으로 소급하여 정상 유지보수처럼 보이게 합니다.

3단계: VS Code 작업 자동 실행(TasksJacker)

감염된 저장소에 .vscode/tasks.json 파일이 주입됩니다. 개발자가 저장소를 클론(clone)하여 VS Code에서 열기만 하면 추가 사용자 상호작용 없이 작업이 자동 실행됩니다. 이는 이전 Contagious Interview 캠페인의 사회공학적 단계를 완전히 우회합니다.

4단계: 블록체인 기반 페이로드 수신(C2)

난독화가 해제된 자바스크립트 로더는 TRON(트론), Aptos(앱토스), BSC(BNB 스마트 체인) 블록체인 네트워크의 거래 내역에 암호화되어 저장된 데이터를 읽어 다음 단계 페이로드를 가져옵니다. 이 'etherhiding' 기법은 C2 데이터가 변경 불가능한 공개 블록체인에 영구히 존재하므로 차단이 극도로 어렵습니다.

전달되는 맬웨어 페이로드

BeaverTail (자바스크립트 기반 드로퍼/정보 탈취기)

PolinRider가 전달하는 주요 맬웨어군. 1단계 드로퍼이자 자격 증명 수집기 역할을 합니다.

DEV#POPPER.js (원격 접근 트로이목마)

완전한 원격 코드 실행(RCE) 기능을 갖춘 자바스크립트 기반 RAT. eSentire의 TRU(위협 대응팀)는 2026년 2월 에너지·유틸리티·폐기물 업종 고객 환경에서 실제 탐지했습니다.

OmniStealer (정보 탈취기)

암호화폐 지갑 자격 증명, 개인 키, 브라우저 저장 자격 증명, 세션 토큰, API 키, CI/CD 시크릿 등을 집중적으로 탈취합니다.

기타 페이로드

• PylangGhost: Python 기반 백도어. npm 패키지를 통해 이 맬웨어가 유포된 첫 사례입니다.
• Socket.io 백도어: 공격자 인프라와 지속적인 리버스 셸 통신 채널을 구축합니다.

Contagious Interview와의 연결점

PolinRider는 Contagious Interview 캠페인의 직접적인 진화형입니다. 과거 Contagious Interview는 가짜 채용 면접을 미끼로 개발자가 트로이 목마 프로젝트를 설치하도록 사회공학적 공격에 의존했지만, PolinRider는 완전 자동화된, 사회공학적 단계가 필요 없는 공급망 침해로 전환했습니다.

• 두 캠페인 모두 동일한 BeaverTail 맬웨어군과 중복되는 C2 인프라를 공유합니다.
• PolinRider/TasksJacker는 악성 패키지 및 VS Code 자동 실행 작업을 통해 사람의 개입 없이 감염이 이루어집니다.
• 두 캠페인 모두 블록체인 기반 페이로드 수신을 사용합니다.

권장 대응 조치

즉시 조치

1. 영향을 받은 모든 환경을 완전히 침해된 것으로 간주하고 모든 자격 증명과 시크릿이 유출되었다고 가정합니다.
2. package.json, go.mod, lockfile에서 영향받은 패키지를 제거합니다.
3. 개발자 워크스테이션의 모든 아웃바운드 네트워크 활동, 특히 블록체인 노드 및 알 수 없는 IP로의 연결을 검토합니다.
4. 영향받은 패키지를 실행한 모든 코드베이스 작업을 중단하고, 알려진 침해 시점 이전의 커밋으로 되돌립니다.
5. 복구 전에 포렌식 증거(로그, 디스크 이미지)를 보존합니다.

코드 및 저장소 정리

6. postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs 및 유사 파일에서 추가된 난독화 자바스크립트를 스캔합니다.
7. .vscode/ 디렉토리 내 예상치 못한 자동 실행 설정의 tasks.json 파일이 있는지 검사합니다.
8. .woff2 및 기타 바이너리 자산 파일에 포함된 자바스크립트를 검토합니다.
9. 알 수 없는 작성자의 소급된 커밋을 위해 Git 히스토리를 감사합니다. 표시된 커밋 히스토리만 신뢰하지 마십시오.

장기적 강화

10. 개발자 네트워크에 이그레스 필터링(egress filtering)을 구현하여 아웃바운드 연결을 제한합니다.
11. 설치 전 패키지 무결성 검증(lockfile, 체크섬 검증,

    npm audit

    , socket.dev 스캔)을 사용합니다.
12. 명시적으로 필요하지 않은 개발 환경에서는 VS Code 자동 실행 작업을 비활성화합니다.
13. 정적 분석 규칙을 배포합니다. Datadog은 JavaScript/Node.js 코드 보안 스캐닝을 위한 전용 PolinRider 탐지 규칙을 제공합니다.
14. 블록체인 기반 C2 지표(블록체인 API에 대한 비정상적인 DNS 조회, 개발자 머신의 비표준 아웃바운드 연결)를 모니터링합니다.
15. 알려진 정상 lockfile에서 재구축하고, 영향받은 워크스테이션에서 노출되었을 수 있는 모든 시크릿, API 키, 암호화 키를 재발급합니다.