Shai-Hulud npm 웜: 개발자 Mac에서 한 일과 Kilobat에 표시되었을 내용

요약

• 보호: 도움이 되지 않음

  Mac에서 차단할 것은 없었습니다. 트래픽은 npm, GitHub 및 클라우드 API로 향했으며 webhook.site는 개발자 기기가 아닌 GitHub 러너에서 호출되었습니다.

• 에이전트 보호: 도움이 되지 않음

  요청이 GitHub Actions 러너에서 왔으므로 webhook.site 규칙은 적용되지 않았습니다. 다른 목적지는 잘 알려진 호스트 또는 로컬 주소였습니다.

• 에이전트 네트워크 로그: 제한적

  에이전트가 실행한 설치의 경우 하나의 설치 아래에 TruffleHog, GitHub API를 호출하는 curl, npm publish 및 처음 접속한 클라우드 호스트가 표시되었을 것입니다.

발생한 일

GitHub에 따르면 2025년 9월 14일 공격을 통보받았습니다. Socket과 StepSecurity는 처음에 @ctrl/tinycolor 4.1.1 및 4.1.2와 약 40개의 다른 패키지를 보고했으며, 일주일 내 CrowdStrike가 게시한 패키지를 포함해 500개를 넘었습니다. 감염된 각 버전은 macOS와 Linux에서만 postinstall 훅을 통해 3.6 MB의 bundle.js를 실행했습니다.

스크립트는 환경을 덤프하고 GitHub 릴리스에서 오픈 소스 비밀값 스캐너 TruffleHog를 다운로드해 전체 파일 시스템에서 실행했으며 클라우드 기기에 자격 증명을 제공하는 클라우드 메타데이터 엔드포인트에 접근을 시도했습니다. AWS 또는 Google Cloud 자격 증명이 있으면 해당 계정의 비밀 관리자에서 비밀값을 나열하고 읽었습니다.

~/.npmrc 또는 환경에서 npm 토큰을 찾으면 npm의 whoami 엔드포인트로 토큰을 확인하고 관리자의 다른 패키지를 검색한 다음 각각에 자신을 추가하고 패치 버전을 올려 게시했습니다. 이것이 웜인 이유입니다. 개발자 한 명의 토큰으로 그가 게시할 수 있는 모든 패키지를 감염시켰습니다.

GitHub 토큰이 있으면 수집한 데이터를 이중 base64 data.json로 담은 Shai-Hulud라는 공개 저장소를 만들고, 토큰이 접근할 수 있는 저장소에 워크플로 .github/workflows/shai-hulud-workflow.yml가 포함된 shai-hulud 브랜치를 푸시했으며, 경우에 따라 비공개 조직 저장소를 “Shai-Hulud Migration”이 표시된 공개 저장소로 복사했습니다. 해당 워크플로는 GitHub에서 실행되어 저장소 비밀값을 webhook.site 주소로 전송했습니다. Wiz에 따르면 웹훅은 과도한 사용으로 비활성화되었지만 워크플로는 비밀값을 로그에도 출력했습니다.

11월 21일부터 23일 사이 업로드된 두 번째 공격은 새 파일 setup_bun.js 및 bun_environment.js를 사용하고 preinstall 단계에서 실행되었으며 설치가 느려 보이지 않도록 개발자 기기에서 백그라운드로 계속 실행되었습니다. 설명에 Shai-Hulud가 들어간 저장소에 비밀값을 게시했는데 Wiz 집계로 25,000개가 넘었으며, 감염된 기기를 SHA1HULUD라는 GitHub Actions 자체 호스팅 러너로 등록해 재접근 경로를 만들었습니다.

타임라인

1. 2025년 9월 14일

   GitHub에 npm 패키지의 자기 복제 웜이 통보됩니다(GitHub).

2. 2025년 9월 15일

   Socket과 StepSecurity가 @ctrl/tinycolor 및 40개 이상의 패키지를 보고합니다.

3. 2025년 9월 16일

   Socket이 CrowdStrike 패키지를 포함해 영향을 받은 패키지 500개에 가까운 수를 집계합니다. Aikido 등은 확산을 추적합니다.

4. 2025년 9월 22일

   GitHub가 500개 이상의 패키지를 제거하고 npm에서 웜 지표가 포함된 업로드를 차단하도록 한 뒤 로컬 게시 시 2FA 필수, 7일 세분화 토큰 및 신뢰할 수 있는 게시를 발표합니다.

5. 2025년 9월 23일

   CISA 경고는 개발자 자격 증명을 교체하고 webhook.site로 나가는 연결을 차단하도록 권고합니다.

6. 2025년 11월 21~23일

   두 번째 공격의 패키지가 npm에 업로드됩니다(Wiz, Aikido).

7. 2025년 11월 24~26일

   유출된 비밀값을 담은 저장소 수천 개가 나타나고 GitHub는 11월 26일 이를 제거하고 유출 토큰을 취소하기 시작합니다.

네트워크에서 보인 모습

개발자의 Mac에서 거의 모든 연결은 개발자가 매일 사용하는 호스트로 향했습니다. registry.npmjs.org에서 감염된 패키지를 가져온 다음 /-/whoami 및 /v1/search를 호출하고 관리자의 다른 패키지를 다운로드해 새 버전을 게시했습니다. 설치 도중 npm에서 업로드가 발생한 것입니다. api.github.com에서는 계정을 읽고 Shai-Hulud 저장소를 생성하고 브랜치와 워크플로 파일을 푸시했습니다. StepSecurity가 난독화를 해제한 코드에는 백도어 모듈이 curl로 이를 수행하는 모습이 나옵니다. TruffleHog는 GitHub 릴리스 다운로드에서 가져왔습니다.

클라우드 자격 증명이 있으면 AWS Secrets Manager와 Google Secret Manager API에도 접속했습니다. 클라우드 기기에서만 응답하는 메타데이터 주소 169[.]254[.]169[.]254 및 metadata[.]google[.]internal에도 접근을 시도했습니다. 프로세스 트리는 npm에서 셸을 거쳐 node bundle.js로 이어졌고, 이 프로세스가 curl를 실행하는 bash 스크립트 trufflehog와 npm publish를 시작했습니다.

유일하게 특이한 호스트인 webhook[.]site에는 Mac에서 전혀 접속하지 않았습니다. 웜이 GitHub에 푸시한 워크플로에 포함되어 있었으므로 워크플로 실행 시 GitHub 호스팅 러너에서 요청이 발생했습니다.

침해 지표

출처에 기록된 그대로입니다. 도메인은 링크가 아닌 텍스트이며 출처가 무해화한 경우 그대로 무해화했습니다([.]). 이 인프라는 대부분 오래전에 사라졌습니다. 지표는 현재 캠페인을 차단하기보다 오래된 로그, 파일 및 계정을 확인하는 데 도움이 됩니다.

Kilobat이 표시하거나 차단했을 내용

Kilobat이 도움이 되지 않았을 경우

• npm과 GitHub에서 피해를 일으킨 트래픽은 개발자 자신의 유효한 토큰을 사용했으며 일반적인 게시 및 푸시처럼 보입니다.
• 웹훅 유출과 워크플로 로그에 비밀값을 출력한 작업은 GitHub 러너에서 발생했습니다. CISA의 권고대로 webhook.site를 차단하는 것은 CI가 실행되는 곳에서 가장 중요합니다.
• Kilobat은 호스트와 바이트 수만 기록하고 내용은 기록하지 않으므로 TruffleHog가 무엇을 찾았는지 또는 저장소가 무엇을 받았는지 알 수 없습니다.
• Docker 컨테이너 또는 VS Code의 편집기 확장 호스트에서 실행된 설치는 에이전트에 귀속되지 않습니다.
• 감염된 패키지는 이후 제거되었으며 30일 에이전트 로그로는 2025년을 확인할 수 없습니다. 이제 확인할 대상은 잠금 파일, 캐시 및 GitHub 계정입니다.

지금 Mac 확인하기

1. 잠금 파일을 Socket, StepSecurity 및 Wiz가 공개한 패키지 목록과 대조하세요. 한 패키지의 경우:

   npm ls @ctrl/tinycolor

2. 프로젝트 폴더에서 두 공격 중 하나의 페이로드 파일을 찾으세요.

   find . -path "*/node_modules/*" \( -name bundle.js -o -name setup_bun.js -o -name bun_environment.js \) -print

3. bundle.js가 있다면 9월 해시와 비교하세요. 일치하면 웜입니다. 다른 bundle.js 파일은 흔하며 대개 무해합니다.

   find . -path "*/node_modules/*" -name bundle.js -exec shasum -a 256 {} + | grep 46faab8ab153fae6e80e7cca38eab363075bb524edd79e42269217a083628f09

4. 이름이나 설명에 Hulud가 포함된 GitHub 저장소를 나열하세요.

   gh repo list --limit 1000 --json name,description --jq '.[] | select((.name + " " + (.description // "")) | test("hulud"; "i")) | .name'

5. 각 조직과 저장소의 Settings › Actions › Runners에서 직접 설정하지 않은 자체 호스팅 러너를 제거하세요. 특히 SHA1HULUD라는 이름을 확인하세요. Mac에서 러너를 직접 실행하지 않는다면 이 명령은 아무것도 출력하지 않아야 합니다.

   pgrep -fl "Runner.Listener|Runner.Worker"

6. 일치하는 항목이 있으면 npm 토큰, GitHub 토큰 및 클라우드 키를 교체한 다음 npm 토큰을 나열해 오래된 토큰을 삭제하세요.

   npm token list

7. 요청하지 않은 설치 스크립트가 실행되지 않도록 npm에서 이를 끄고 필요할 때 프로젝트별로 실행하세요.

   npm config set ignore-scripts true

8. 다음에 대비해 에이전트가 실행한 각 설치가 어디에 접속했는지 확인하세요. 설치 중 npm 레지스트리로의 업로드와 GitHub API 호출을 주의해서 보세요.

   kilobat agent-log --all

출처

• GitHub 블로그: 더 안전한 npm 공급망을 위한 계획
• CISA: npm 생태계에 영향을 미치는 광범위한 공급망 침해
• StepSecurity: Shai-Hulud 자체 복제 웜이 500개 이상의 npm 패키지 감염
• Socket: 인기 tinycolor npm 패키지가 40개 이상의 패키지에 영향을 미친 공급망 공격으로 감염됨
• Wiz: Shai-Hulud npm 공급망 공격
• Aikido: S1ngularity/nx 공격자들의 재공격
• Wiz: Sha1-Hulud 2.0 공급망 공격
• Unit 42: “Shai-Hulud” 웜이 공급망 공격으로 npm 생태계 감염

2026년 11월 1일에 확인했습니다.

다른 보안 사고