안녕하세요,그로메트릭 입니다. 🐸 오픈소스 패키지를 설치하는 개발팀과 CI/CD 파이프라인을 운영하는 조직이라면 눈여겨봐야 할 분석입니다.소나타입(Sonatype)이 공식 블로그에서 악성 오픈소스 패키지가 왜 유독 CI/CD 자격증명을 노리는지 짚었습니다.자격증명 하나만 손에 넣어도 소스 코드, 빌드 시스템, 패키지 레지스트리, 클라우드 인프라, 운영 배포 환경까지 닿을 수 있기 때문입니다. 2025년 소나타입이 분석한 악성 패키지 가운데 53%는 설치 단계에서 개발 환경을 노리도록 만들어져 있었습니다.의존성 하나를 설치했을 뿐인데 악성 릴리스 배포와 빌드 오염으로 번질 수 있다는 점에서, 공급망 보안 관점의 실질적인 비즈니스 리스크로 이어질 수 있는 사안입니다. *아래 글은 소나타입(Sonatype)..

안녕하세요,그로메트릭 입니다. 🐸 npm 생태계를 대상으로 한 공급망 공격이 다시 한번 새로운 국면을 맞이했습니다. 지난 2026년 6월 25일, 보안 연구팀들이 Shai-Hulud Miasma 캠페인의 최신 변종을 포착했습니다. 이번 공격의 핵심은 타이포스쿼팅이나 신규 악성 패키지 배포가 아닙니다. 수년간 개발자들이 신뢰해온 기존 패키지 그 자체를 감염시켰다는 점에서 이전 공격과 본질적으로 다릅니다. 공격자는 Leo Platform 오픈소스 생태계의 패키지 관리자 계정(czirker)을 탈취한 뒤, 정상 패키지의 새 버전에 악성 코드를 심어 배포했습니다. 특히 npm 설치 시 native 애드온 빌드를 위해 사용되는 binding.gyp 파일을 악용해, package.json의 lifecycle 스크..