자바스크립트 보안 솔루션인 Jscrambler의 npm(Node Package Manager) 공식 배포 인증 정보가 유출되어 발생한 공급망 공격 사태에 대한 요약입니다.

사건 개요

2026년 7월 11일부터 약 3시간 동안 공격자들은 유출된 인증 정보를 악용하여 5개의 악성 버전을 npm 저장소에 연쇄적으로 게시했습니다. 이로 인해 해당 패키지를 설치한 개발자 PC의 정보가 탈취되는 글로벌 공급망 보안 위협이 발생했습니다.

핵심 공격 방법 및 기술적 상세

공격자들은 일반적인 검증 절차를 우회하기 위해 다음과 같은 고도화된 기법을 사용했습니다.

• 사전 설치 스크립트 악용: 패키지 설치 시 자동으로 실행되는 pre-install 스크립트에 악성 코드를 삽입하여 윈도우, macOS, 리눅스 환경에 악성 파일을 강제 주입했습니다.
• Rust 기반의 정보 탈취: Rust 언어로 작성된 악성코드는 개발자 PC의 클라우드 인증 정보, 메타마스크(MetaMask) 등의 가상자산 지갑 개인 키를 집중적으로 약탈했습니다. 특히 Cursor, Claude Desktop과 같은 최신 AI 코딩 도구의 설정 파일 내 API 키를 탈취하는 데 주력했습니다.
• 커널 수준 제어: 리눅스 환경에서는 일반 권한을 우회하여 메모리상에서 운영체제 커널 내부로 직접 침투하는 eBPF(extended Berkeley Packet Filter) 프로그램을 로드했습니다. 이를 통해 시스템 통제권을 확보했습니다.
• 지속성 유지 및 은닉: 시스템 재부팅 후에도 악성코드가 자동으로 재구동되도록 하는 메커니즘을 심었으며, 탈취한 기밀 정보를 외부로 전송할 때는 Tor(The Onion Router) 네트워크를 통해 사법 당국의 추적을 회피했습니다.
• 스크립트 실행 차단 우회: 공격자들은 스크립트 실행 차단 옵션을 무력화하는 기술적 설계를 통해 방어 체계를 무력화했습니다.

대응 현황 및 권고 사항

Jscrambler 측은 유출된 인증 정보를 폐기했으나, 이미 오염된 버전이 npm 저장소에 잔존하여 위험이 지속되고 있습니다. 보안 전문가들은 다음의 조치를 권고합니다.

1. 프로젝트 내 lockfile을 조사하여 오염된 버전 기록을 삭제할 것.
2. 패키지를 안전한 버전인 8.22.0으로 즉시 업데이트할 것.
3. 현재 접근 가능한 모든 인증 토큰(GitHub PAT 등)을 전면 폐기하고 새로 발급받을 것.