이 공격은 다음과 같은 주요 프로젝트와 연결된 라이브러리에도 영향을 미쳤다.
따라서 공격이 짧은 시간 동안 발생했더라도, 영향 범위는 매우 넓을 가능성이 있었다.
5월 19일 AntV 관련 사건에서 핵심 원인은 유지관리자 계정 탈취와 자동화된 패키지 배포 시스템이었다.
유지관리자는 보통 스크립트나 CI 파이프라인을 이용해 여러 패키지를 동시에 배포할 수 있다. 이 권한을 이용하면 공격자는 다음을 자동화할 수 있다.
최근 많은 오픈소스 프로젝트는 보안을 위해 GitHub Actions의 Trusted Publishing 방식을 사용한다.
이 방식에서는 다음 구조가 사용된다.
장점은 장기 비밀 키를 저장하지 않아도 된다는 점이다.
하지만 Mini Shai‑Hulud 공격에서는 이 구조가 역으로 악용됐다.
공격자들은 일부 프로젝트에서 다음 행동을 수행한 것으로 보고된다.
현대 소프트웨어 공급망 보안에서는 다음 기술이 널리 사용된다.
이 시스템은 소프트웨어가 실제로 특정 빌드 환경에서 생성됐는지 검증하는 데 사용된다.
하지만 Mini Shai‑Hulud 공격에서는 공격자가 이미 빌드 파이프라인 내부를 장악한 상태였다.
즉 사용자 입장에서는 패키지가 다음 조건을 모두 충족했다.
겉보기에는 완전히 정상적인 릴리스였다.
패키지 내부에 삽입된 악성 코드는 주로 개발자 자격 증명과 인프라 접근 권한을 노렸다.
보고된 주요 표적은 다음과 같다.
이 정보를 탈취하면 공격자는 추가 저장소나 배포 파이프라인을 침해할 수 있다.
이번 사건은 현대 오픈소스 공급망 보안의 몇 가지 현실을 드러냈다.
보안 분석가들은 Mini Shai‑Hulud 공격을 TeamPCP의 장기적인 공급망 공격 캠페인의 일부로 보고 있다. 이 그룹은 Checkmarx Jenkins AST 플러그인 침해 사건 등 다른 활동과도 연결되어 있다.
Mini Shai‑Hulud 사건은 한 가지 중요한 사실을 보여줬다.
암호학적 서명이나 provenance만으로는 안전을 보장할 수 없다.
공격자가 신뢰된 빌드 파이프라인을 장악하면, 악성 코드도 정상 소프트웨어처럼 보일 수 있기 때문이다.
그래서 많은 조직이 다음 영역에 더 집중하고 있다.
자동화된 빌드와 서명된 아티팩트가 표준이 되어 가는 지금, CI 인프라와 개발자 계정 자체의 보안이 오픈소스 공급망 방어의 핵심 요소로 떠오르고 있다.
Mini Shai‑Hulud 사건은 그 신뢰가 얼마나 빠르게 악용될 수 있는지 보여준 대표적인 사례로 기록되고 있다.
Comments
0 comments