악성 NPM 패키지: 이더리움 도구로 위장한 Quasar RAT 배포

Malicious Obfuscated NPM Package Disguised as an Ethereum Tool Deploys Quasar RAT

 

• 악성 패키지 개요
  • ethereumvulncontracthandler라는 NPM 패키지가 발견됨
  • 이더리움 스마트 계약의 취약성을 탐지하는 라이브러리로 위장
  • 실제로는 Quasar RAT을 배포해 개발자 시스템을 감염
  • 패키지는 2024년 12월 18일 게시되었으며, 현재까지 66회 다운로드됨
• 공격 방식
  • 설치 시 원격 서버("jujuju[.]lat")에서 악성 스크립트를 가져와 PowerShell 명령을 실행
  • Quasar RAT을 시스템에 배포하고 지속성을 유지하기 위해 Windows 레지스트리 수정
  • 감염된 시스템은 C2 서버("captchacdn[.]com:7000")와 통신하며 추가 명령 및 데이터 탈취 수행
  • 샌드박스 회피 및 다단계 페이로드:
    • Base64 및 XOR 인코딩, 최소화(minification) 기법으로 분석 및 탐지 회피
    • 샌드박스 환경 여부를 체크한 후 추가 페이로드를 로드
• Quasar RAT의 위협
  • Quasar RAT은 2014년 GitHub에 공개된 원격 접근 트로이목마
  • 주요 기능
    • 키로깅, 스크린샷 캡처, 데이터 탈취
    • C2 서버와의 지속적인 통신으로 명령 수신 및 실행
    • 멀티 호스트 관리로 봇넷 형태로 감염 시스템 제어 가능
• GitHub의 가짜 별점 문제
  • GitHub 리포지토리의 별점(star)을 조작해 악성 패키지의 신뢰도를 인위적으로 부풀림
  • Socket 및 학계 연구에 따르면, 4.5백만 개의 가짜 별점이 22,915개 리포지토리에서 확인
  • 별점 판매 시장("Baddhi Shop", "BuyGitHub")이 가짜 별점을 제공하며 패키지의 가시성을 증가
  • Microsoft는 가짜 별점 제거를 위해 노력 중이지만 문제는 여전히 지속
• 보안 권고
  • 패키지 설치 전 검증
    • 별점이나 다운로드 수만으로 신뢰하지 말고 코드와 활동 패턴을 직접 검토
  • 의심스러운 패키지 탐지
    • 비정상적인 별점 증가 및 짧은 활동 기록이 있는 리포지토리를 주의
  • 보안 도구 활용
    • 소프트웨어 공급망 보안을 강화하기 위한 NPM, PyPI 등 패키지 레지스트리 모니터링 도구 사용
  • Quasar RAT 탐지 및 제거
    • 의심스러운 네트워크 트래픽과 레지스트리 변경 사항을 모니터링
    • 감염된 시스템에서 즉각적으로 악성코드 제거 수행
• 결론
  • NPM 패키지 공급망 공격은 오픈소스 생태계의 신뢰성을 위협
  • 개발자는 설치 전 철저한 검토와 공급망 보안 강화를 통해 악성 패키지로부터 시스템을 보호해야 함
  • GitHub 등 플랫폼은 가짜 별점 문제를 해결하고 신뢰 지표의 정확성을 높여야 함