요약

2026년 3월 31일, axios 패키지가 공급망 공격에 노출되는 문제가 발생했다.

감염된 버전을 설치하는 것으로도 개발자 PC에 원격 접근이 가능한 트로이목마(RAT)가 설치되는 문제이다.

악성 버전: axios@1.14.1 axios@0.30.4

원인: 관리자 계정 탈취 → 정상 CI/CD 우회 후 수동 배포

방식: 가짜 의존성 plain-crypto-js@4.2.1 삽입

결과: postinstall 스크립트를 통해 RAT 설치

사건 개요

2026년 3월 31일 HTTP 클라이언트 라이브러리 axios의 악성 버전이 npm에 게시되면서 공급망 공격이 발생했다.

axios 특정 버전 package.json에 추가된 plain-crypto-js@4.2.1의존성 때문에 설치 과정에서 악성 코드가 실행되는 구조가 만들어졌다.

결과적으로 문제 버전을 설치하면 원격 접근 트로이목마(RAT)가 자동으로 설치되는 심각한 문제였다.

이번 사건은 코드 변경도 없었고 의존성 하나만 추가됐다.

"dependencies": {
  "plain-crypto-js": "^4.2.1"
}

이 패키지는 코드 어디에서도 사용되지 않고, import도 없고 실행되는 부분도 없다.

설치할 때 plain-crypto-js 패키지 안에 스크립트가 들어있어서 설치하는 순간 자동으로 스크립트가 실행된다.

즉, 흐름은 다음과 같이 진행된다.

v1.14.1 v0.30.4 버전의 axios를 설치한 사람은 다른 것을 하지 않았는데 감염된 상태이다..

하지만 여기서 더 중요한건 설치가 끝난 뒤 흔적을 지워 이상한 점이 보이지 않는 상태(node_modules를 열어봐도 흔적이 남지 않음)가 되는 것이다.

$ if (Test-Path "$env:PROGRAMDATA\wt.exe") { echo "COMPROMISED" }
$ Test-Path "$env:PROGRAMDATA\wt.exe"

True로 표시된다면 문제가 있는거고, False라면 문제가 없다.

$ if [ -f /tmp/ld.py ]; then echo "COMPROMISED"; else echo "CLEAN"; fi

CLEAN으로 표시 되면 문제 없는 것이다.

최근 들어 react2shell, axios 등 오픈소스 생태계를 노린 보안 이슈가 많아진 것 같다.

이런 공격을 완전히 피하려면 어떻게 해야 할까? 블로그를 작성하기 위해 정보를 찾다보면,

유명한 대형 패키지는 여러 명의 MFA 승인자가 있어야 한다, Yarn의 zero-install 모드를 사용하자와 같은 내용이 많다.

결국 완벽한 방법은 없지만, 신뢰했던 패키지들이 언제든 나를 공격하는 수단이 될 수 있다는 생각이 많이 든다.