설치하면 낯선 단체방으로... 악성 npm 패키지 101개, 개발자 왓츠앱 계정으로 팔로워 장사

한 줄 요약

보안 기업 OX시큐리티가 왓츠앱(WhatsApp) 오픈소스 라이브러리 베일리스(Baileys)를 위장한 악성 npm 패키지 101개를 발견했습니다. 이 패키지들을 설치한 개발자의 왓츠앱 계정은 본인 동의 없이 낯선 단체방이나 채널에 자동으로 가입됩니다. 공격자들은 이렇게 모은 팔로워 수를 봇 스크립트, 가짜 앱, SNS 부풀리기 서비스를 파는 데 신뢰 지표로 악용했습니다. 이 패키지들은 지난 30일간만 11만6000회 넘게 내려받아졌으며, 이번이 올해 8월과 9월에 이어 세 번째로 확인된 유사 캠페인입니다. 연구진은 개발자들에게 왓츠앱 단체방 가입 내역 점검과 의심스러운 패키지 사용 자제를 당부했습니다.

사건

왓츠앱 오픈소스 라이브러리 베일리스를 사칭한 악성 npm 패키지 101개가 발견됐으며, 설치 시 개발자의 왓츠앱 계정을 동의 없이 낯선 단체방·채널에 가입시킨다.

영향

누적 49만회, 최근 30일만 11만6000회 내려받아졌고, 개발자 계정이 인도네시아 소재로 추정되는 게임·앱 홍보, 봇 판매, SNS 부풀리기 관련 채널의 팔로워 수를 부풀리는 데 악용됐다.

원인

공격자들이 채널 ID를 코드에 직접 노출하거나 깃허브에서 실행 중 받아오거나 난독화하는 등 다양한 방식으로 왓츠앱 계정을 몰래 구독시키는 코드를 패키지에 심었다.

대응

OX시큐리티가 이 캠페인을 '팬텀서브'로 명명해 기술 분석을 공개했고, 개발자들에게 단체방 가입 내역 확인과 의심 패키지 차단을 권고했다.

실무 포인트

개인 왓츠앱 계정 연결을 요구하는 npm 패키지는 설치를 피하고, 악성 베일리스 패키지 탐지 절차를 마련해야 한다.

본문

왓츠앱 오픈소스 프로젝트 베일리스(Baileys)를 악용한 악성 npm 패키지 101개가 이를 설치한 개발자의 왓츠앱 계정을 동의 없이 단체방에 집어넣는다고 보안 기업 OX시큐리티(OX Security)가 밝혔다.

OX시큐리티 연구진은 이 캠페인을 '팬텀서브'(PhantomSub)로 명명하고, 관련 기술 분석을 공개했다. 이 패키지들의 누적 내려받기는 49만회이고, 최근 30일에만 11만6000회에 이른다. 패키지 이름은 ourin-baileys, @nexustechpro/baileys, levvleys, neuralwhatsapp, my-auto-follow 등이다.

이 수법은 8월 처음 공개됐다. 보안 기업 세이프뎁(SafeDep)은 베일리스를 복제한 npm 패키지들을 찾아냈다. 이 패키지들은 설치자의 왓츠앱 계정을 몰래 공격자 채널에 팔로우하게 하고, 봇이 보내는 이미지와 동영상에 광고 URL을 끼워 넣었다. 9월엔 자이제니(Xygeni) 보안연구팀이 개발자의 인증된 왓츠앱 봇 세션을 공격자 뉴스레터 채널에 구독시키는 변종 '@dappaoffc/baileys-mod'를 공개했다.

OX시큐리티는 구독 방식이 다른 세 가지 변종을 확인했다. 19개 패키지는 실행 중 깃허브에서 채널 ID를 받아오고, 60개는 소스코드에 채널 ID를 평문으로 적어 뒀다. 14개는 채널 ID를 인코딩하고 난독화해 숨겼다.

인도네시아에 근거지를 둔 것으로 보이는 한 단체방은 모바일 레전드: 뱅뱅과 틱톡 등 게임과 앱 계정을 홍보했다. 연결된 전화번호는 '댄'(Dan)이라는 이름의 인도네시아 왓츠앱 비즈니스 계정과 이어졌다. 이 밖에 게임 아이템을 파는 뉴럴(팔로워 798명)과 MONTE – BMG(1000명), CORTANA TECH(1300명), Fyxzpedia.ID – Utama(4800명) 등의 단체방과 채널이 확인됐다.

OX시큐리티는 확인된 채널이 대부분 인도네시아의 소규모 봇 판매·장터 채널이라고 분석했다. 이들은 팔로워 수를 봇 스크립트와 봇 제작 서비스, '프리미엄' APK, SNS 부풀리기 서비스를 팔기 위한 신뢰 지표로 쓴다.

이름과 배포자는 달라도 같은 채널 ID와 원격 채널 목록, 깃허브 계정이 여러 패키지에서 반복해 나타났다. OX시큐리티는 "채널을 공유한다는 것은 수혜자를 공유한다는 뜻"이라며 누가 패키지를 올렸든 그 채널 주인이 모든 패키지에서 팔로어를 거둬 간다고 말했다.

연구진은 개발자들에게 왓츠앱 단체방 가입 내역을 확인하고 수상한 단체방을 차단하라고 권했다. 악성 베일리스 패키지를 탐지하는 절차를 마련하고, 개인 왓츠앱 계정 연결을 요구하는 패키지는 쓰지 말라고 조언했다.