개발 공급망 웜에서 패키지와 CI 및 토큰 경계 구분

Shai-Hulud와 그 파생 웜은 개발 패키지와 저장소 자격 증명을 이용한 전파로 보고됐습니다. 악성 패키지가 실행된 환경에서 다시 다른 패키지를 배포할 권한을 얻으면 공급망의 다음 경계로 이어질 수 있습니다.

저장소 계정, 패키지 발행 권한과 CI 작업의 비밀값은 같은 범위가 아닙니다. 프로젝트에 파일이 있었다는 사실과 실제 CI에서 실행됐거나 외부 계정으로 전송된 사실을 나누어 확인합니다.

Mini Shai-Hulud와 CanisterWorm은 자격 증명과 확산 및 특정 조건의 파괴 기능이 보고됐지만 제어 경로와 구현은 다릅니다. GlassWorm은 저장소 자격 증명과 개발 생태계를 이용하는 별도 계열입니다.

HexEval Loader와 XORIndex Loader는 후속 내용을 다른 방식으로 표현하고 BeaverTail 등을 전달합니다. 비슷하게 만든 패키지명과 정상 패키지를 구분하며 전달 도구와 수집 악성코드의 역할도 나눕니다.

영향받은 배포물의 출처와 버전 및 실행 기록을 보존하고 실제 사용할 수 있었던 토큰의 권한을 확인합니다. 악성 파일 제거, 발행 자격 증명 무효화와 이미 발행된 배포물 정리는 다른 작업입니다.

CI 설정과 실행 결과, 패키지 발행 이력 및 계정 활동을 함께 대조합니다. 모든 저장소가 노출됐다고 가정하거나 파일 삭제만으로 전파 권한까지 사라졌다고 판단하지 않습니다.