악성 코드 다이제스트 월간 요약: 7월

Xygeni 악성 코드 다이제스트 7월호에 오신 것을 환영합니다. 이번 달에는, 저희 보안 연구팀은 npm, PyPI, OpenVSX(VS Code 확장 프로그램 마켓플레이스)에서 5주간 집계된 보고서를 통해 780개 이상의 악성 패키지를 확인했습니다..

7월은 세 가지 추세가 수렴하는 시기였습니다. 첫째, 차단 조치를 무력화시키도록 설계된 지속적이고 대량의 버전 배포 캠페인, 둘째, AI 도구, MCP 서버 및 에이전트 워크플로를 표적으로 하는 공격의 급격한 증가, 셋째, 이 두 가지 모두를 대상으로 하는 조직적인 종속성 혼란 유발 캠페인이 그것입니다. enterprise 네임스페이스 및 암호화폐/DeFi 생태계.

이번 달에 기록된 가장 주목할 만한 캠페인은 다음과 같습니다.

• bingo-ai PyPI에서 해당 문제가 두 차례에 걸쳐 다시 발생하여 (7월 13일과 7월 21일) 150개가 넘는 버전이 레지스트리에 대량으로 등록되는 사태가 발생했는데, 이는 일회성 사건이 아니라 지속적인 공격임을 확인시켜 줍니다.
• zevairouter 7월 한 달 동안 단일 패키지 캠페인으로는 최대 규모를 기록했습니다. 7월 25일부터 28일까지 npm에 걸쳐 65개 이상의 버전이 지속적으로 배포되었습니다.
• gcli-control윈도우 RAT 우리는 상세하게 분석했습니다. npoint.io를 통해 C2 서버를 연결하는 이 시스템은 세 주에 걸쳐 0.1.0 버전에서 0.13.0 버전으로 업데이트되었습니다.
• @szc-ft/mcp-szcd-client그 뒤에 있는 패키지 스킬리크MCP 스킬에 포함된 자격 증명 복호화 도구에 대한 저희의 분석 글이 7월 2일에 승인되었습니다.
• 7월 7일 주간에는 해당 월 중 AI 도구를 이용한 집중적인 공격이 발생했습니다. mcp-server-pg, anthropic-toolkit, openai-agents-helpers, ollama-helpers예산 및 @langgraphjs/toolkitMCP, Anthropic, OpenAI, Ollama, LangGraph를 사칭했습니다.
• 17개 패키지로 구성된 페이팔 사칭 악성코드 클러스터가 7월 27일 npm에 유출되었으며, 모든 패키지가 불과 몇 분 만에 28.0.0 버전으로 배포되었습니다.
• @wagni_bot약 60개의 npm 패키지가 암호화폐 지갑 SDK(이더리움, 솔라나, 바이낸스 등)를 사칭하여 7월 10일 단 하루 만에 게시되었습니다.
• OpenVSX에서 12개 이상의 가짜 VS Code 확장 프로그램이 발견되어 공격자들이 패키지 레지스트리를 넘어 IDE 자체로 공격 범위를 넓히고 있음을 확인했습니다.

7월의 특징적인 패턴은 다음과 같습니다. 공격은 점점 더 인공지능 에이전트와 자동화 도구를 표적으로 삼고 있는데, 이러한 도구들은 사람의 검토 과정 없이 패키지를 설치하며, 수동 검토 속도를 뛰어넘도록 설계된 배포 속도를 특징으로 합니다.

아래는 저희가 발견한 내용을 요약한 것입니다. 5주간의 모든 데이터는 자세한 내용과 함께 다음 링크에서 확인하실 수 있습니다. 악성 코드 요약 색인.