세 개의 악성 npm Vite 패키지가 RAT를 전달하기 위한 C2 채널로 블록체인을 사용

세 개의 Vite 주변 npm 패키지가 블록체인 트랜잭션에 명령어 주소를 숨기며, 거의 끊을 수 없는 C2 채널을 구축했습니다.

사실

Hacker News는 2026년 7월 17일 Vite 생태계(웹팩의 프론트엔드 번들러 경쟁자)를 타깃으로 한 일곱 개의 악성 npm 패키지가 발견되었다고 보도했습니다. 해당 패키지들은 RAT(Remote Access Trojan)을 전달하며, 명령 및 제어 서버(C2) 주소가 코드에 하드코딩되지 않고 블록체인 트랜잭션에 인코딩되어 있다는 특징이 있습니다.

• 공격 벡터: 오타스쿼팅(단어 철자 오류로 인한 사칭)으로 인해 정당한 패키지로 가장한 악성 패키지를 npm install로 설치.
• 페이로드: 지속성(RAT)을 지닌 악성 코드.
• C2: 공개 블록체인(퍼블릭 체인)에서 트랜잭션을 읽어 서버 주소 확인.
• 타깃: Vite를 사용하는 프론트엔드 개발자.

영향권

정확한 패키지명 확인 없이 npm install을 수행하는 모든 프론트엔드 개발자 또는 팀이 위험에 노출됩니다. Vite는 React, Vue, Svelte, SolidJS 등에서 기본 개발 서버로 광범위하게 사용되므로 대상 집단은 매우 큽니다. CI/CD 파이프라인도 취약합니다. 젠킨스나 GitHub Actions 러너가 단 한 번의 악성 패키지 설치만으로 빌드 체인이 오염될 수 있습니다.

분석

여기서 주목할 점은 오타스쿼팅 자체가 아니라 블록체인을 통한 C2입니다. 구체적인 공격 과정은 다음과 같습니다:

1. 공격자가 Ethereum, Solana 등 블록체인 트랜잭션의 메모 필드에 C2 서버의 IP/도메인을 기록합니다.
2. 악성 코드가 설치되면 무료 퍼블릭 노드(Infura, Alchemy)를 통해 해당 트랜잭션을 읽습니다.
3. 트랜잭션에서 주소를 추출해 실제 C2 서버에 연결합니다.

공격자에게 이점: 트랜잭션을 싱크홀로 차단할 수 없습니다. 트랜잭션은 불변·분산되어 있으며, 전체 퍼블릭 블록체인을 차단하지 않는 한 제거할 수 없습니다. 더 이상 호스팅 업체나 레지스트라를 통한 C2 도메인 테이크다운이 통하지 않습니다. 이 기술 자체는 2018년부터 비트코인에서 변형 형태로 존재했지만 npm에서 등장했다는 점은 공급망 공격자의 지속적인 전문화 신호입니다.

방어 측면에서는 npm 컴프로미스에 대한 기존 방어법과 동일합니다: 감사, 의존성 잠금, 설치 스크립트 검토.

지금 해야 할 일

• 최근 package-lock.json 감사: 지난 30일 이내 설치된 패키지 검색 후 공식 Vite 목록(vitejs.dev)과 이름 비교. 의심스러운 이름(특이한 대문자, 밑줄, 동형 문자 등) → 의심 대상.
• 기본 설치 스크립트 차단: CI 환경에서 npm config set ignore-scripts true 설정(사용성 저하 but 보안성 대폭 향상).
• 허용 목록 기반 레지스트리 프록시 사용: Sonatype Nexus, JFrog Artifactory, Verdaccio.
• 네트워크 모니터링: 프론트엔드 패키지가 블록체인 RPC 노드로 연결을 여는 경우 이미 위험 신호.
• 공식 패키지명 목록 대기: 7개 패키지 정확한 이름 확인(소켓, 스니크, 깃허브 보안 권고 참조).

아직 확인되지 않은 사항

7개 패키지의 정확한 이름, C2에 사용된 블록체인, RAT의 종류, npm에 의해 제거되기 전 다운로드 규모 등은 원문에서 상세히 다루지 않았습니다. 소켓 또는 깃허브 보안 권고가 공개되는 즉시 업데이트하겠습니다.