- PostCSS 관련 도구로 위장한 악성 npm 패키지 다수가 발견되어 Windows RAT를 유포한 것으로 보고됨
- aes-decode-runner-pro(약 145회 다운로드), postcss-minify-selector(약 256회 다운로드) 등 타이포스쿼팅 정황이 보고됨
- 개발자 빌드 파이프라인의 자동 의존성 설치를 노려 호스트 장치의 원격 제어까지 가능한 위협 경로가 형성됨
인기 프런트엔드 도구의 명성을 빌린 위장 공격은 오픈소스 생태계의 신뢰 자체가 공격 표면이 될 수 있음을 시사한다.
2026년 6월 23일자 The Hacker News 보도는 PostCSS 생태계를 겨냥한 새로운 npm 공급망 공격 사례를 공개했다. 공격자는 유명 빌드 도구의 명성을 빌려 Windows RAT를 최종 페이로드로 전달하는 정교한 흐름을 구성한 것으로 보고되었다. 본 기고는 공개된 사실을 바탕으로 공격 구조와 시사점을 정리한다.
공격 개요와 식별된 악성 npm 패키지
이번 사건은 npm 레지스트리에서 발견된 일련의 악성 패키지가 PostCSS 관련 도구로 위장해 배포된 점에서 주목할 만하다. 공격자는 동일한 명명 규칙과 기능 모방을 결합해, 개발자가 일반적인 검색만으로는 위변형을 식별하기 어렵도록 설계한 것으로 보인다.
위장 대상이 된 PostCSS 도구의 특성
PostCSS는 자바스크립트 기반 스타일 후처리 도구로, 다수의 트랜스파일러와 플러그인을 통해 빌드 파이프라인의 중심에 자리 잡고 있다. 이런 특성 덕분에 다양한 프런트엔드 프로젝트에서 의존성으로 끌어와 사용되며, 신규 패키지 도입 시 개발자가 명칭만으로 출처를 신뢰하는 경향이 존재한다. 공격자는 이러한 운영 관행을 이용했을 가능성이 있다.
공개된 패키지 명단과 다운로드 지표
보고에서 명시된 패키지에는 aes-decode-runner-pro(약 145회 다운로드), postcss-minify-selector(약 256회 다운로드), 그리고 동일 명칭 계열의 postcss-minify-selec 등이 포함된다. 수치 자체는 대규모 유포 수준은 아니지만, 빌드 단계 침투 시 발생할 수 있는 후속 피해를 고려하면 충분히 경계해야 할 규모로 평가된다.
| 패키지 명칭 | 위장 카테고리 | 확인된 다운로드 수 |
|---|---|---|
| aes-decode-runner-pro | PostCSS 도구 위장 | 약 145회 |
| postcss-minify-selector | PostCSS 플러그인 위장 | 약 256회 |
| postcss-minify-selec 계열 | 타이포스쿼팅 의심 | 명칭 일부 잘림 |
Windows RAT 유포 메커니즘과 실행 흐름
식별된 패키지들은 단순한 정보 탈취형을 넘어 Windows 기반의 RAT를 최종 페이로드로 가져온 것으로 보고되었다. 이는 감염 호스트에 대한 지속적 원격 제어 권한을 공격자에게 부여할 수 있음을 의미한다.
설치 단계에서 발생하는 페이로드 동작
자바스크립트 프로젝트는 일반적으로 의존성 설치 스크립트를 통해 다양한 부수 작업을 자동 수행한다. 공격자는 이러한 스크립트 실행 경로를 악용해 운영체제 수준 명령을 호출하고, Windows 환경에 최적화된 RAT를 드롭하는 흐름을 구성한 것으로 보인다. 이 과정에서 사용자의 명시적 승인 단계가 우회될 가능성이 우려된다.
감염 시 호스트에서 발생할 수 있는 후속 위협
RAT가 활성화될 경우 원격 셸 제어, 자격 증명 수집, 추가 페이로드 다운로드, 그리고 내부 네트워크 측면 이동까지 가능해질 수 있다. 빌드 머신이 사내 소스 저장소나 배포 키에 접근 권한을 가진다는 점에서, 단일 감염이 조직 전체의 소프트웨어 공급망 위험으로 이어질 가능성이 확장될 여지가 있다.
공급망 관점에서의 위협 시사점
이번 사례는 단발성 침해 사고가 아니라 생태계 신뢰 구조 자체에 대한 공격으로 해석해야 한다. 오픈소스 패키지 저장소는 그 분산성과 개방성으로 인해 동일한 장점과 함께 공격 표면을 함께 제공한다.
개발자 빌드 파이프라인의 신뢰 경계 붕괴
개발자 로컬 환경과 CI/CD 파이프라인은 코드 실행 권한과 자격 증명을 보유한 영역이다. 이 구간에 침투한 악성 의존성은 최종 결과물뿐 아니라 개발 조직 내부 자산까지 위협할 수 있다. 특히 서명된 빌드 산출물을 자동으로 신뢰하는 운영 체계에서는 탐지 지연이 길어질 가능성이 있다.
유사 명칭 위장 공격의 확대 가능성
타이포스쿼팅과 기능 모방은 비용 대비 효과가 큰 공격 기법으로, PostCSS 외에도 webpack, babel, vite 등 인기 빌드 도구를 대상으로 유사 시도가 확대될 가능성이 우려된다. 생태계 전반의 명칭 감독과 자동화된 의심 패키지 탐지 체계가 병행되지 않으면 유사 사건이 반복될 수 있다.
대응 권고와 운영자 책임
개발 조직과 보안 운영자는 이번 사건을 계기로 의존성 관리 정책과 검증 절차를 재정비할 필요가 있다. 기술적 통제와 운영 절차가 함께 강화될 때 공급망 공격에 대한 저항력이 실질적으로 향상된다.
의존성 검증 및 lockfile 점검
설치 시 lockfile 기반으로 패키지 무결성을 잠그는 것은 기본적인 1차 방어선이다. 정식 명칭과 해시값을 주기적으로 점검하고, 새 의존성 도입 시 출처와 유지보수 이력을 확인하는 절차가 병행되어야 한다. 또한 postinstall 등 자동 실행 스크립트는 필요한 범위로만 제한해야 한다.는 것이 권고된다.
사내 패키지 미러 및 승인 목록 운영
신뢰 가능한 패키지만 선별해 사내 미러 또는 프록시 저장소로 제공하면, 외부 레지스트리의 직접 노출을 줄일 수 있다. 이때 허용 목록과 차단 목록을 코드와 함께 버전 관리하고, CI 단계에서 자동 검증하도록 구성하면 정책 일관성을 유지하기 쉬워진다.
- 핵심 정리 1: PostCSS 같은 인기 빌드 도구의 명성은 공격자의 위장 자원으로 그대로 활용될 수 있다.
- 핵심 정리 2: Windows RAT 페이로드는 개발자 호스트 제어를 넘어 사내 공급망 전반으로 위협을 확장할 잠재력이 있다.
- 핵심 정리 3: lockfile 검증과 사내 패키지 미러 운영은 유사 공급망 공격에 대한 현실적인 1차 방어선이다.
원문 기사: The Hacker News
참고 자료: npm 패키지 검색