아티팩트 저장소에는 방화벽이 필요합니다.

안녕하세요,그로메트릭 입니다. 🐸 npm 등 공개 패키지 저장소에 의존해 개발하는 팀이라면 패키지가 개발 환경에 들어오는 지점을 반드시 점검해야 합니다.공격자는 악성 패키지를 직접 배포하거나 정상 프로젝트를 탈취해, 평범한 의존성 다운로드를 자격 증명 탈취와 빌드 침해의 통로로 바꾸고 있습니다. 악성 패키지는 설치 과정에서 코드를 실행되며, 이 시점의 개발자 PC와 빌드 시스템은 소스 코드, 토큰, 클라우드 계정, 배포 자격 증명에 접근할 수 있는 상태입니다. 여기에 CI 파이프라인과 AI 에이전트가 사람의 검토 없이 패키지를 자동으로 내려받으면서 요청량 자체가 늘고 있습니다. 소프트웨어 공급망 보안 관점에서 패키지 유입 시점의 통제 여부가 실질적인 비즈니스 리스크를 좌우하는 상황입니다.이번 소나타입 ..

안녕하세요,그로메트릭 입니다. 🐸 탈취된 npm 패키지에서 PolinRider 로더가 다시 발견되었습니다. 소나타입 리서치 랩스는 2026년 11월 4일, 탈취된 npm 패키지 10개의 릴리스 12건에서 숨겨진 런타임 로더를 확인했습니다. 영향받은 패키지는 Redux 연동, health API, 브라우저 활동 추적, 유틸리티 등 서로 무관한 기능을 제공합니다. 이 로더는 기존 PolinRider 활동에서 보고된 것과 동일한 하드코딩 이더리움 지갑이 보낸 트랜잭션을 조회해 페이로드 서버의 IP 주소를 알아낸 뒤, XOR로 인코딩된 JavaScript를 내려받아 실행하도록 설계되어 있습니다. 패키지 매니페스트에는 install·postinstall 훅이 없어, install 스크립트를 비활성화하는 것만으..

안녕하세요,그로메트릭 입니다. 🐸 AI 덕분에 아이디어에서 풀 리퀘스트(PR)까지 걸리는 시간은 분 단위로 줄었습니다. 그런데 소프트웨어를 배포하는 일까지 쉬워졌다고 할 수 있을까요? 코드는 빨리 도착했지만, 실패한 빌드와 의존성 충돌, 뒤늦게 발견된 이슈, 가치 없는 업그레이드 때문에 릴리스는 늦어질 수 있습니다. 코드 생성량은 도구가 만들어 낸 활동량일 뿐, 사용자에게 전달된 프로덕션 수준의 소프트웨어가 얼마나 되는지, 그 과정에서 계획에 없던 작업이 얼마나 생겼는지는 보여주지 않습니다. 의존성 문제가 빌드나 릴리스까지 번지면 구성요소의 사용 위치 파악, 교체, 자격 증명 노출 가능성 평가로 작업이 이어집니다. 결국 핵심은 AI가 만든 속도 이점이 PR에서 프로덕션까지 얼마나 살아남느냐입니다. 소나..

안녕하세요,그로메트릭 입니다. 🐸 npm install 한 줄이면 끝나는 패키지 설치가, 개발자의 열쇠 꾸러미를 통째로 넘기는 순간이 될 수 있습니다. 개발 환경에 저장된 자격증명이 노출되면 소스 코드 저장소와 빌드·배포 인프라 운영 전반으로 위험이 번질 수 있다는 점에서, 이는 개발자 한 사람의 문제로 끝나지 않습니다. 소나타입 리서치팀이 분석한 TensorLake TypeScript SDK의 악성 릴리스(tensorlake@0.5.144)는 설치 시점에 preinstall 훅으로 난독화된 JavaScript 페이로드를 실행했고, GitHub 토큰과 HashiCorp Vault 자격증명은 물론 Claude, Cursor, Kiro, Codex, Gemini, Windsurf 등 AI 개발 도구의 설..

안녕하세요,그로메트릭 입니다. 🐸 애플리케이션 하나가 평균 약 180개의 의존성(dependency)을 품고 있는 시대입니다. 개발자가 라이브러리 하나를 추가하는 순간, 패키지 매니저는 수십 개의 전이적 의존성(transitive dependency)까지 함께 가져옵니다. 그중 하나라도 악성 패키지라면 빌드가 시작되기도 전, 설치 단계에서 코드가 실행될 수 있습니다. 도입 이후 새로운 취약점이 공개되면 영향을 받는 애플리케이션을 모두 찾아내고, 적용 가능한 업데이트를 마련해야 합니다. 소나타입 리서치팀이 2026년 2분기 말까지 지난 10년간 기록한 악성 패키지는 180만 개를 넘습니다. 익숙한 레지스트리를 쓴다고 안전이 보장되지는 않는다는 뜻입니다.게다가 이제는 AI 코딩 어시스턴트까지 의존성과 업그..

안녕하세요,그로메트릭 입니다. 🐸 최근 npm 생태계에서 또 하나의 심상치 않은 공급망 공격이 포착됐습니다. 소나타입 리서치랩이 발견한 이번 사건은 npm 패키지 6종이 동일한 악성 페이로드를 유포한 사례로, sonatype-2026-005899, sonatype-2026-005901로 각각 추적되고 있습니다. 그중 3개는 원래 신뢰받던 정상 패키지가 하이재킹된 것이고, 나머지 3개는 처음부터 악성 코드를 품고 게시된 신규 패키지입니다. 더 눈길을 끄는 건 공격 방식입니다. 이 악성코드는 놀랍게도 이더리움 블록체인 트랜잭션을 명령제어(C2) 서버 주소를 찾는 용도로 활용합니다. 특정 지갑 주소의 최근 송금 내역을 조회해 수신자 주소를 IP로 디코딩하는 방식인데, 이는 북한(DPRK) 배후로 알려진 ..

그로메트릭 네이버 블로그에서 자세한 내용을 참고하세요!https://m.blog.naver.com/grometric/224001485214 [긴급공지] npm Chalk 및 Debug 패키지가 소프트웨어 공급망 공격에 노출됨안녕하세요 그로메트릭 입니다. 🐸 npm 공급망 공격 사건에 대하여 sonatype 보안 연구팀이 제공한 블로...blog.naver.com 연관 시리즈 글이 궁금하시다면 아래 그로메트릭 네이버 블로그를 참고하세요!내 프로젝트의 npm 패키지, 정말 안심하고 사용하시나요? 내 프로젝트의 npm 패키지, 정말 안심하고 사용하시나요?안녕하세요 그로메트릭 입니다. 🐸 최근 개발자 커뮤니티가 chalk, debug 등 유명 npm 패키지를 겨냥한 ...blog.naver.com [sona..

그로메트릭 네이버 블로그 원문을 참고하세요!https://m.blog.naver.com/grometric/224001430811​ npm 공급망 공격 사건 정리: 패키지 악성 코드 삽입안녕하세요 그로메트릭 입니다. 🐸 2025년 9월 8일 발생한 npm 생태계의 심각한 공급망 공격 사건을 정리...blog.naver.com 안녕하세요그로메트릭 입니다. 🐸2025년 9월 8일 발생한 npm 생태계의 심각한 공급망 공격 사건을 정리했습니다.사건의 시작: npm 계정 피싱과 악성 패키지 배포2025년 9월 8일, 공격자는 npm 패키지 유지관리자를 대상으로 피싱 이메일을 보냈습니다.발신 주소: support@npmjs.help“지난 12개월간 2FA(이중 인증)를 갱신하지 않았으며, 2025년 9월 10..