- 사이버 보안 연구원들은 Adspect라는 은폐 서비스를 사용하는 단일 위협 행위자가 게시한 7개의 npm 패키지 세트를 공개했습니다.
- Adspect는 클릭 사기 및 안티바이러스 회사 봇을 포함한 원치 않는 트래픽으로부터 광고 캠페인을 보호하도록 설계된 클라우드 기반 서비스를 홍보하는 것을 목표로 합니다.
- 6개의 npm 패키지에는 자신을 숨기고 시스템 지문을 복사하는 39kB 크기의 악성코드가 포함되어 있습니다.
사이버 보안 연구원들은 단일 위협 행위자가 게시한 일곱 개의 npm 패키지 세트를 공개했습니다. 이 패키지들은 Adspect라는 클로킹 서비스를 사용하여 실제 피해자와 보안 연구원을 구분한 뒤, 최종적으로 수상한 암호화폐 테마 사이트로 리디렉션합니다.
악성 npm 패키지들은 2025년 9월부터 11월 사이 ‘dino_reborn’이라는 위협 행위자에 의해 게시되었습니다. 패키지에는 signals-embed(342회 다운로드), dsidospsodlks(184회 다운로드), applicationooks21(340회 다운로드), application-phskck(199회 다운로드), integrator-filescrypt2025(199회 다운로드), integrator-2829(276회 다운로드), integrator-2830(290회 다운로드)가 포함됩니다.
Adspect는 광고 캠페인을 보호하는 클라우드 기반 서비스인 것처럼 위장합니다.
웹사이트에 따르면, Adspect는 클릭 사기 및 백신 회사 봇을 포함한 원치 않는 트래픽으로부터 광고 캠페인을 보호하도록 설계된 클라우드 기반 서비스를 광고합니다. 또한 '방탄 클로킹'을 제공하며 '모든 광고 플랫폼을 신뢰성 있게 클로킹한다'고 주장합니다.
이 서비스는 월 $299, $499, $999에 각각 Ant-Fraud, Personal, Professional 세 가지 플랜을 제공합니다. 또한 회사는 사용자가 “원하는 것은 무엇이든 광고할 수 있다”며, “우리는 당신이 운영하는 것에 관심이 없으며 콘텐츠 규칙을 강제하지 않는 무조건적 정책을 따릅니다”라고 주장합니다.
소켓 보안 연구원 올리브 브라운은 “패키지 중 하나가 구축한 가짜 웹사이트를 방문하면, 위협 행위자는 방문자가 피해자인지 보안 연구원인지 판별합니다 […] 방문자가 피해자라면 가짜 CAPTCHA를 보게 되고, 결국 악성 사이트로 이동하게 됩니다. 만약 보안 연구원이라면, 가짜 웹사이트의 몇 가지 단서만이 악의적인 행위가 진행 중일 수 있음을 알려줄 것입니다.”라고 밝혔습니다.
AdSpect의 웹 브라우저에서 연구원들의 작업을 차단하는 능력
이 패키지들 중 여섯 개는 악성코드의 39kB 조각을 포함하고 있으며, 이는 자신을 숨기고 시스템 지문 사본을 생성합니다. 또한 웹 브라우저에서 개발자 작업을 차단하여 분석을 회피하려 하며, 이로 인해 연구원이 소스 코드를 보거나 개발자 도구를 실행하는 것이 방지됩니다.
이 패키지들은 ‘즉시 실행 함수 표현식(IIFE)’이라는 JavaScript 기능을 악용합니다. 이를 통해 웹 브라우저에서 코드를 로드하는 즉시 악성 코드가 실행됩니다.
하지만 ‘signals-embed’는 즉시 악성 기능을 가지지 않으며, 가짜 흰색 페이지를 구성하도록 설계되었습니다. 캡처된 정보는 프록시(“association-google[.]xyz/adspect-proxy[.]php”)로 전송되어 트래픽 소스가 피해자인지 연구원인지 판별한 후, 가짜 CAPTCHA를 제공합니다.
피해자가 CAPTCHA 체크박스를 클릭하면, StandX와 같은 서비스를 사칭하는 가짜 암호화폐 관련 페이지로 리디렉션되어 디지털 자산을 훔치려는 의도가 있을 수 있습니다. 그러나 방문자가 잠재적 연구원으로 분류되면 사용자에게 가짜 흰색 페이지가 표시됩니다. 이 페이지에는 가짜 회사 Offlido와 관련된 개인정보 보호 정책 표시와 관련된 HTML 코드도 포함되어 있습니다.
이 보고서는 아마존 웹 서비스(AWS)의 보고서와 시기를 같이합니다. 이 보고서에 따르면, 아마존 인스펙터(Amazon Inspector) 팀은 2024년 4월에 처음 감지된 초기 파동에서 기원을 둔 npm 레지스트리의 조정된 TEA 토큰 채굴 캠페인과 연결된 15만 개 이상의 패키지를 식별하고 보고했습니다.
“이는 오픈 소스 레지스트리 역사상 가장 큰 패키지 범람 사건 중 하나이며, 공급망 보안의 분기점이 됩니다.” 연구원 치 트란(Chi Tran)과 찰리 베이컨(Charlie Bacon)은 “위협 행위자는 사용자의 인식 없이 암호화폐 보상을 얻기 위해 패키지를 자동으로 생성하고 게시하며, 이는 캠페인이 처음 식별된 이후 기하급수적으로 확장되었음을 보여줍니다.”라고 말했습니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
