보안 연구자들이 npm(자바스크립트 패키지 저장소)에서 'WeaselBiscuit'이라는 신종 정보 탈취 악성코드를 심은 패키지 13개를 발견했습니다. 이 악성코드는 북한의 'Contagious Interview' 캠페인과 연관된 BeaverTail, OtterCookie 악성코드와 유사한 코드를 공유하지만, 더 작고 단순하게 만들어진 형태입니다. 특히 Windows·macOS·Linux 모두에서 크롬 브라우저 확장 프로그램의 저장 데이터를 통째로 훔쳐내며, 암호화폐 지갑 확장 프로그램의 정보도 노출될 수 있어 금전적 피해로 이어질 수 있습니다. Windows 환경에서는 클립보드와 키 입력도 기록합니다. 해당 패키지 13개를 프로젝트에서 사용하고 있다면 즉시 제거하고 관련 자격증명을 교체해야 합니다.
npm 저장소에 WeaselBiscuit 악성코드를 심은 패키지 13개(@biz44/* 계열 포함)가 유포되어 개발자 환경을 감염시키고 있다. 북한 연계 Contagious Interview 캠페인의 BeaverTail·OtterCookie와 코드 구조가 유사하나 명확한 귀속 증거는 아직 없다.
감염 시 크롬 확장 프로그램의 LocalExtension Settings(LevelDB 저장소) 전체를 C2 서버로 전송하며, 암호화폐 지갑 확장 정보 등 민감 데이터가 유출될 수 있다. Windows에서는 클립보드와 키로거 기능도 작동한다.
악성 패키지를 npm install로 설치하면 loader.js가 Npoint 데드드롭에서 본체를 메모리에 직접 로드해 실행한다. 디스크에 파일을 남기지 않아 탐지를 회피한다.
문제의 패키지 13개를 즉시 프로젝트에서 제거하고, 감염된 머신에서 보관하던 자격증명·암호화폐 지갑 키를 교체해야 한다. npm 감사(audit) 도구와 SCA(소프트웨어 구성 분석) 솔루션을 통해 의심 패키지를 선제 탐지하는 체계를 갖춰야 한다.
개발자 PC의 Chrome 확장 프로그램 저장소는 지갑·SSO 토큰 등 고가치 정보의 보고다. npm 의존성 공급망 보안 점검 시 게시자(@biz44 등 생소한 스코프)와 패키지 다운로드 이력을 반드시 검토해야 한다.
본문
Ravie Lakshmanan · 2026년 9월 18일 · 악성코드 / 웹 보안
보안 연구자들이 WeaselBiscuit이라는 코드명의 미공개 자바스크립트 스틸러(정보 탈취 악성코드)를 배포하는 npm 패키지 13개를 발견했다.
OpenSourceMalware에 따르면 이 신종 악성코드 패밀리는 조선민주주의인민공화국(DPRK) 연계 'Contagious Interview' 캠페인과 관련된 두 악성코드 BeaverTail, OtterCookie와 기능적 유사성을 보인다. 보안 연구자 Paul McCarty(일명 6mile)는 "더 작고 가볍게 다듬어진 형태로, 무거운 기능 상당수가 완전히 제거됐다"고 설명했다.
해당 패키지 목록은 아래와 같다.
- @biz44/id10-client
- @biz44/id12-client
- @biz44/id44-client
- @biz44/id79-client
- @biz44/id95-client
- @biz44/id99-client
- @biz44/process-runtime-utils
- @biz44/runtime-utils
- engin1
- id79-client
- process-lhpm
- process-mite
- process-tailwind
OpenSourceMalware의 공동 창업자 Jenn Gile은 The Hacker News와 공유한 성명에서 "DPRK의 BeaverTail과 OtterCookie에서 여러 함수를 차용했지만 훨씬 작고 자기완결적인 스틸러"라며 "수달(otter)보다 족제비(weasel)가 작고, 쿠키(cookie)보다 비스킷(biscuit)이 덜 고급스럽다는 점에서 'WeaselBiscuit'이라고 명명했다"고 밝혔다.
BeaverTail은 Contagious Interview 배후 북한 위협 행위자들이 소프트웨어 개발자·IT 전문가·암호화폐 이용자를 겨냥해 운용하는 크로스플랫폼 정보 탈취 악성코드 겸 다운로더다. 적어도 2022년 말부터 활동 중인 것으로 파악된다.
OtterCookie는 정보 탈취 기능에 더해 피해 호스트에서 명령을 실행할 수 있는 원격 접근 기능을 결합한 악성코드로, NTT Security Holdings가 2024년 12월 처음 공개 문서화했다.
WeaselBiscuit의 특징은 단순함에 있다. 원격 접근, 지속성(persistence), 암호화폐 지갑 탈취 코드, InvisibleFerret 같은 2차 페이로드 전달 기능이 없다. 대신 npm import를 통해 실행이 트리거되면 로더("loader.js")가 Npoint 데드드롭(온라인 임시 저장소)에서 악성코드 본체를 가져와 메모리에서 직접 실행한다.
실행 후에는 별도의 Npoint URL에서 C2(명령·제어) 서버 설정을 확인하고, 감염 호스트를 프로파일링한 뒤 Windows·macOS·Linux 전반에 걸쳐 Chrome 확장 프로그램 저장소를 수집한다. C2 서버("103.170.217[.]184:8787")로부터 받은 명령에 따라 Windows 머신에서는 클립보드 내용과 키 입력도 기록할 수 있다.
McCarty는 "이 악성코드에는 형제 악성코드 같은 암호화폐 지갑 탈취 기능이 없지만, Chrome 확장 프로그램 저장소 수집 기능은 금전적으로 충분히 위험하다"며 "지갑 확장 프로그램의 상태 데이터나 기타 확장 프로그램이 보관하는 민감 정보를 노출할 수 있다. 확장 프로그램의 Local Extension Settings 디렉터리 — 즉 LevelDB 키-값 저장소 — 아래의 읽기 가능하고 비어 있지 않은 파일을 통째로 업로드한다"고 설명했다.
OpenSourceMalware는 "DPRK 연계 Contagious Interview 툴링과 의미 있는 중첩이 있지만, 운영자 인프라·피해자 유형·캠페인 메타데이터·서명 자료 등에서 북한으로 결론짓기 위한 확정적 증거는 없다"고 강조했다.
북한을 가리키는 기타 징후는 다음과 같다.
- Contagious Interview와의 연관성을 NVISO가 2025년 11월 지적한 바 있는 경량 온라인 JSON 저장 서비스 Npoint.io 사용
- api.ipify.org와 ip-api.com을 통한 중첩된 공인 IP 및 지리적 위치 조회 사용
- OtterCookie와 겹치는 C2 아키텍처 유사성
- 각 설치를 태깅하는 숫자형 캠페인 ID(10, 12, 44, 79, 95, 99) 사용 — PolinRider와 동일한 방식
만약 WeaselBiscuit이 DPRK 악성코드 무기고의 최신 추가물로 확인된다면, 위협 행위자들이 BeaverTail과 OtterCookie의 기능을 융합하려 시도하는 것은 이번이 처음이 아니다. Cisco Talos는 2025년 10월 "node-nvm-ssh"라는 npm 패키지를 발견하고 "BeaverTail과 OtterCookie의 특성을 모두 가지고 있어 두 악성코드의 경계가 모호해지고 있다"고 밝힌 바 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
