프로그램은 실행 환경의 권한을 사용할 수 있습니다

개발용 패키지가 실행되는 환경에 저장소나 배포 토큰이 있으면 단순히 그 프로젝트 파일만의 문제가 아닐 수 있습니다. 실제로 읽을 수 있는 자료와 사용할 수 있는 권한을 구분해야 합니다.

모든 패키지가 위험하거나 모든 계정이 노출됐다는 뜻은 아닙니다. 실행한 실제 배포물과 시점 및 권한이 판단 기준입니다.

이름이 조금 다른 패키지도 살펴봅니다

알려진 이름과 비슷하게 만든 패키지로 악성 코드를 전달한 사례가 있습니다. 저장소가 있어 보이거나 설치에 성공했다는 사실만으로 안전성이 확인되는 것은 아닙니다.

HexEval Loader와 XORIndex Loader 같은 전달 구성과 BeaverTail 같은 후속 수집 프로그램은 역할이 다릅니다. 이름을 섞으면 어떤 단계가 실행됐는지 놓칠 수 있습니다.

악성 파일을 지웠더라도 이미 가져간 토큰이 유효하면 그 권한이 남을 수 있습니다. 서비스의 정상 절차로 영향을 확인하고 필요한 발행 자격 증명과 세션을 정리합니다.

저장소와 CI 실행 및 패키지 발행 이력을 함께 확인하면 모든 프로젝트를 무조건 다시 만드는 것보다 실제 범위를 구분하는 데 도움이 됩니다.