북한과 연계된 해커 집단이 전 세계 수억 개의 코드 환경에 설치된 인기 오픈소스 소프트웨어 라이브러리를 감염시키는 대규모 공급망 공격을 감행한 것으로 밝혀져 국제 사이버 보안 당국에 비상이 걸렸다.

구글 위협정보그룹(GTIG)과 보안 연구팀에 따르면, 북한 연계 해커 그룹 'UNC1069(일명 크립토코어)'은 지난 3월 31일 자정 무렵 인기 자바스크립트 HTTP 클라이언트 라이브러리 'Axios'의 악성 버전을 npm 패키지 저장소에 배포했다.

Axios는 주간 다운로드 수가 1억 건을 넘는 npm 최상위 패키지로, 전 세계 클라우드 및 코드 환경의 약 80%에 설치되어 있다. 악성 버전은 배포 약 3시간 만에 삭제됐지만, 이 기간 동안 전체 사용자의 약 3%가 감염된 것으로 추정된다.

악성 패키지에는 'plain-crypto-js'라는 파일이 포함됐으며, 이는 윈도우·맥OS·리눅스 환경 모두에서 백도어 악성코드 'WAVESHAPER.V2'를 자동 실행시키는 드로퍼 역할을 했다.

보안 전문가들은 이번 공격의 목적이 암호화폐 탈취를 통한 자금 조달에 있을 것으로 보고 있다. UNC1069는 주로 탈중앙화금융(DeFi) 및 암호화폐 기업들을 표적으로 삼아온 북한 정권 지원 사이버 범죄 집단으로 알려져 있다.

전문가들은 이번 공급망 공격의 피해 규모를 전면 파악하는 데 수개월이 걸릴 수 있다고 경고하며, 기업들에게 npm 패키지 사용 이력을 전면 점검할 것을 촉구하고 있다.

사이버 보안 전문가들은 북한이 핵·미사일 프로그램 자금을 조달하기 위해 대규모 사이버 절도 작전을 지속적으로 감행하고 있다고 설명하며 국제 공조 강화를 주문하고 있다.