암호화폐 사기를 은닉한 npm 패키지 7개 적발

사이버 보안 연구원들이 단일 위협 행위자가 배포한 7개의 npm 패키지를 공개했습니다. 이 패키지들은 Adspect라는 클로킹 서비스를 사용하여 실제 피해자와 보안 연구원을 구분하고, 궁극적으로 의심스러운 암호화폐 관련 사이트로 리디렉션합니다.

악성 npm 패키지는 2025년 9월과 11월 사이에 "dino_reborn"이라는 위협 행위자에 의해 게시되었습니다. 이 패키지에는 signals-embed(342회 다운로드), dsidospsodlks(184회 다운로드), applicationooks21(340회 다운로드), application-phskck(199회 다운로드), integrator-filescrypt2025(199회 다운로드), integrator-2829(276회 다운로드), integrator-2830(290회 다운로드)이 포함됩니다.

Adspect는 광고 캠페인을 보호하는 클라우드 기반 서비스로 자리 잡았습니다.

에 따르면 웹사이트, 클릭 사기 및 안티바이러스 회사의 봇을 포함한 원치 않는 트래픽으로부터 광고 캠페인을 보호하도록 설계된 클라우드 기반 서비스를 제공한다고 광고합니다. 또한 "완벽한 은폐" 기능을 제공하며 "모든 광고 플랫폼을 안정적으로 숨긴다"고 주장합니다.

이 회사는 세 가지 요금제, 즉 사기 방지(Ant-Fraud), 개인용(Personal), 전문가용(Professional)을 제공하며, 각 요금제는 월 299달러, 499달러, 999달러입니다. 회사는 또한 사용자가 "원하는 것은 무엇이든" 광고할 수 있다고 주장하며, "무조건적인 정책을 따른다"고 덧붙였습니다. "무엇을 게재하든 우리는 신경 쓰지 않으며 어떠한 콘텐츠 규칙도 적용하지 않습니다."

Socket 보안 연구원 올리비아 브라운은 "위협 행위자는 이러한 악성 프로그램 중 하나가 만든 가짜 웹사이트를 방문하면 방문자가 피해자인지 보안 연구원인지 판단합니다. […] 방문자가 피해자인 경우 가짜 CAPTCHA를 보게 되고, 결국 악성 사이트로 이동하게 됩니다. 보안 연구원이라면 가짜 웹사이트에서 몇 가지 단서만으로 악의적인 행위가 벌어지고 있음을 알아차릴 수 있을 것입니다."라고 밝혔습니다.

AdSpect는 웹 브라우저에서 연구원의 활동을 차단하는 기능을 제공합니다.

이 패키지들 중 6개에는 39kB 크기의 악성코드가 , 이 악성코드는 스스로를 숨기고 시스템의 지문을 복제합니다. 또한 웹 브라우저에서 개발자 작업을 차단하여 분석을 회피하려고 시도하는데, 이로 인해 연구원들은 소스 코드를 보거나 개발자 도구를 실행할 수 없게 됩니다.

이 패키지는 "즉시 호출 함수 표현식(IIFE)"이라는 JavaScript 기능을 활용합니다. 이 기능을 사용하면 악성 코드가 웹 브라우저에 로드되는 즉시 실행될 수 있습니다. 

그러나 "signals-embed"는 직접적인 악성 기능을 가지고 있지 않으며, 가짜 화이트 페이지를 생성하도록 설계되었습니다. 캡처된 정보는 프록시("association-google[.]xyz/adspect-proxy[.]php")로 전송되어 트래픽 소스가 피해자인지 연구원인지 판별한 후 가짜 CAPTCHA를 제공합니다. 

피해자가 CAPTCHA 체크박스를 클릭하면 StandX와 같은 서비스를 사칭하는 가짜 암호화폐 관련 페이지로 리디렉션되는데, 이는 디지털 자산을 훔치는 것이 목적일 가능성이 높습니다. 하지만 방문자가 잠재적 연구자로 분류되면 사용자에게 흰색 가짜 페이지가 표시됩니다. 또한 Offlido라는 가짜 회사의 개인정보 보호정책 표시와 관련된 HTML 코드도 포함되어 있습니다.

이 보고서는 Amazon Web Services 보고서. Amazon Inspector 팀이 npm 레지스트리에서 조직적인 TEA 토큰 파밍 캠페인과 연결된 15만 개 이상의 패키지를 식별하고 보고했다고 명시되어 있습니다.dent캠페인은 2024년 4월에 탐지된 초기 공격에서 시작되었습니다.

가장 큰 규모의 패키지 플러딩 사건 중 하나이며dent오픈 소스 레지스트리 역사상 defi공급망 보안에 있어 중대한 전환점이 라고 연구원 치 트란과 찰리 베이컨은 말했습니다. "공격자들은 사용자가 인지하지 못하는 사이에 암호화폐 보상을 얻기 위해 패키지를 자동matic이후 캠페인이 기하급수적으로 확산되었음을 보여줍니다dent."