Shai Hulud v2 맬웨어

npm 레지스트리에서 830개 이상의 패키지가 손상된 후, Shai-Hulud 공급망 공격의 두 번째 물결이 Maven 생태계로 확산되었습니다. 연구원들은 이전 npm 공격과 동일한 악성 구성 요소인 setup_bun.js 로더와 bun_environment.js 페이로드를 포함하는 Maven Central 패키지(org.mvnpm:posthog-node:4.18.1)를 발견했습니다. 현재 영향을 받은 것으로 알려진 Java 패키지는 이 패키지뿐입니다.

주목할 점은 Maven 패키지가 PostHog에서 게시된 것이 아니라, npm 패키지를 Maven 아티팩트로 재빌드하는 자동화된 mvnpm 프로세스를 통해 생성되었다는 것입니다. Maven Central은 모든 미러링된 사본이 2025년 11월 25일 기준으로 삭제되었음을 확인했으며, 손상된 npm 구성 요소가 다시 게시되는 것을 방지하기 위해 추가 보호 조치를 시행하고 있습니다.

글로벌 개발자 영향 및 공격 목표

이 최신 공격은 전 세계 개발자를 표적으로 삼아 다음과 같은 민감한 데이터를 훔치려 합니다.

• API 키
• 클라우드 자격 증명
• npm 및 GitHub 토큰

또한 웜과 유사한 자가 복제 방식으로 공급망을 더욱 심층적으로 침해합니다. 이번 Shai-Hulud 변종은 9월에 처음 발견된 변종보다 더욱 은밀하고 공격적이며 파괴적입니다. npm 관리자 계정을 침해함으로써 공격자는 개발자 컴퓨터에 백도어를 설치하는 트로이 목마 패키지를 게시하고, GitHub 저장소로 유출될 비밀을 자동으로 스캔할 수 있습니다.

맬웨어 작동 방식: 이중 워크플로 및 스텔스 기술

이 공격은 두 가지 악성 워크플로를 활용합니다.

• 자체 호스팅 러너 등록: GitHub 토론이 열릴 때마다 임의의 명령 실행을 허용합니다.
• 비밀 수집 워크플로: 자격 증명을 체계적으로 수집하여 GitHub에 푸시합니다.
• Shai-Hulud v2의 주요 개선 사항은 다음과 같습니다.
• Bun 런타임을 사용하여 핵심 로직을 숨기기
• 감염 한도 20개에서 100개로 확대
• 탐지 회피를 위한 GitHub의 무작위 추출 저장소

지금까지 28,000개가 넘는 저장소가 영향을 받았으며, 이는 캠페인의 엄청난 규모와 은밀함을 보여줍니다.

악용된 취약점과 공급망 메커니즘

위협 행위자들은 GitHub Actions 워크플로, 특히 pull_request_target 및 workflow_run 트리거의 CI 구성 오류를 악용해 왔습니다. 잘못 구성된 워크플로 하나만 있어도 저장소가 '최초 감염자'로 전락하여 악성 코드가 빠르게 확산될 수 있습니다.

이 공격은 AsyncAPI, PostHog, Postman과 관련된 프로젝트를 표적으로 삼았으며, npm의 여러 Nx 패키지에 영향을 미친 2025년 8월 S1ngularity 공격으로 시작된 더 광범위한 캠페인을 계속했습니다.

Fallout: 유출된 비밀과 시스템적 위험

캠페인 분석 결과:

• AWS, Google Cloud, Microsoft Azure의 수백 개의 GitHub 액세스 토큰과 클라우드 자격 증명이 유출되었습니다.
• 비밀이 담긴 파일 5,000개 이상이 GitHub에 업로드되었습니다.
• 4,645개 저장소에서 확인된 11,858개의 고유한 비밀 중 2,298개는 2025년 11월 24일 기준으로 유효하고 공개적으로 노출되었습니다.

이는 단 한 명의 손상된 유지 관리자가 어떻게 연쇄 효과를 일으켜 수천 개의 다운스트림 애플리케이션을 감염시킬 수 있는지 보여줍니다.

개발자를 위한 권장 사항

노출을 완화하기 위해 개발자는 다음을 수행해야 합니다.

• 모든 API 키, 토큰 및 자격 증명을 회전합니다.
• 손상된 종속성을 감사하고 제거합니다.
• 깨끗한 패키지 버전을 다시 설치하세요
• 최소 권한 액세스, 비밀 스캐닝 및 자동화된 정책 시행을 통해 CI/CD 환경 강화

샤이-훌루드는 현대 소프트웨어 공급망이 여전히 매우 취약하다고 강조합니다. 공격자들은 오픈소스 소프트웨어의 게시, 패키징, 배포 방식의 허점을 악용하고 있으며, 종종 제로데이 취약점을 이용하지도 않습니다. 가장 효과적인 방어는 소프트웨어의 구축, 공유, 소비 방식을 재고하는 것입니다.