북한 해커들이 arrayref에 대한 공급망 공격을 감행했습니까?

위즈는 러스트 환경의 약 4분의 3에 존재하는 러스트 패키지인 arrayref를 오염시킨 공급망 공격이 최근 북한의 작전과 비교된다고 말했습니다. 

이번 악성 업데이트에는 사용자가 프로젝트를 컴파일할 때matic으로 실행되도록 설계된 코드 안에 로그인 정보를 훔치는 백도어가 숨겨져 있었습니다. 따라서 목요일에 프로젝트를 컴파일한 사용자는 이제 자신의 컴퓨터와 개인 정보가 노출되었을 가능성이 있습니다.

왜 북한이 arrayref 해킹의 배후로 지목되는 건가요? 

Wiz 연구원인 라미 매카시와enj리드는 보고서 에서 arrayref 페이로드가 마스트라 캠페인에도 나타나는 명령 및 제어 경로인 /49890878을 가리킨다는 점을 지적했습니다. 

마이크로소프트는 마스트라 캠페인을 사파이어 슬리트라는 북한 해킹 그룹과 연관 짓고 있습니다. 

arrayref 공격에 사용된 인터넷 주소(IP)는 Mastra에서 사용된 다른 주소와 동일한 보안 인증서를 공유합니다. 또한, 의심스러운 활동을 신고한 피해자는 Google Cloud가 axios npm 공격에서 확인한 IP 주소를 문제 삼았습니다. 

Mandiant는 이번 공격이 UNC1069라는 북한 그룹에 의해 자행되었다고 밝혔습니다. 두 공격 모두 Hostwinds라는 동일한 호스팅 업체를 이용했습니다.

공격으로 인한 변화가 거의 없었기 때문에 알아차리기 어려웠습니다. 보안 연구원인 아이키도(Aikido)의 일리아스 마카리(Ilyas Makari)는 발견했습니다 . 유일한 변경 사항은 각 패키지의 종속성 목록에 proc-macro1이라는 새로운 종속성이 추가된 것뿐이었습니다.

이 이름은 1억 5천 4백만 건 이상의 다운로드를 기록한 인기 크레이트인 proc-macro2의 오타입니다. 가짜 크레이트에는 실제 proc-macro2 코드가 포함되어 있어 소프트웨어는 정상적으로 빌드되고 모든 테스트를 통과합니다. 

문제의 핵심은 빌드 스크립트에 숨겨져 있었습니다. 

빌드 스크립트를 자동으로 실행하므로matic컴파일 시 권고문에서 밝혔악성 버전을 가져오는 프로젝트를 컴파일하는 것만으로도 공격이 발생할 수 있습니다. 

공격이 실행되면 두 번째 단계에서는 Chrome, Brave 및 Edge 브라우저에 저장된 암호를 훔치고 Windows, Mac 및 Linux에서 컴퓨터를 재시작해도 실행되지 않도록 자체 설치 프로그램을 설치합니다.

다운로드 횟수 기준으로 가장 큰 Rust 취약점

아이키도는 이번 공격이 다운로드 수 기준으로 볼 때 자신들이 목격한 가장 큰 규모의 Rust 크레이트 침해 사건이라고 밝혔습니다. Solana Ethereum관련 도구에 사용되는 arrayref 크레이트의 총 다운로드 수는 약 2억 4400만 건에 달합니다. 해당 취약점은 삭제되기 전까지 86분 동안 지속된 것으로 알려졌습니다. 

해당 팀은 넥스트tron 시스템즈가 최초 보고를 했다고 밝혔습니다. 공격이 발견되자마자 팀은 복구 버전을 회수하고 관리자 계정을 잠갔습니다. 

Rust 팀은 작성자가 악의적으로 행동했다고는 생각하지 않으며, 오히려 작성자의 컴퓨터나dent증명이 손상되었을 가능성이 높다고 밝혔습니다. 

특히 아마존은 7월 29일 npm 라이브러리 해킹 사건들이 북한과 연계된 한 해커 소행과 연관되어 있다고 밝혔습니다. TRM Labs는 또한 북한 관련 그룹이 2026년 4월까지 발생한 전체 암호화폐 해킹 피해액의 약 76%(약 5억 7,700만 달러)를 차지했다고  보고했습니다

블랙햇 연구원 반젤리스 스티카스는 trac북한 해커들이 57개국 1,640개 기업에 침투한 것을 밝혔습니다 . 그는 북한 해커들이 종종 가짜 채용 공고를 미끼로 개발자들을 유인한 후 악성코드를 설치하는 수법을 사용한다고 지적했는데, 이는 이번 사례에서처럼 빌드 종속성에 악성코드를 심는 방식과 유사합니다.