'PhantomRaven'라는 JavaScript 기반 정보 탈취 악성코드가 npm 패키지 저장소를 통해 유포되고 있습니다. 공격자는 100개 이상의 악성 패키지를 업로드해 개발자 PC에서 인증 토큰, GitHub 자격증명, CI/CD 환경변수 등 민감한 정보를 훔쳤습니다. CrowdStrike 분석에 따르면 이 악성코드는 LLM(대형 언어 모델)을 활용해 제작된 것으로 높은 신뢰도로 판단됩니다. 특이하게도 이 위협 행위자는 버그 바운티(취약점 신고 포상제) 사냥꾼을 자처하며, 탈취한 정보를 금전 판매 대신 기업으로부터 보상금을 받는 용도로 활용한 정황이 확인됐습니다. npm 외 PyPI(파이썬 패키지 저장소)에도 유사 공격을 시도한 사실이 드러나 개발 공급망 전반에 걸친 위협으로 평가됩니다.
위협 행위자가 npm에 100개 이상의 악성 패키지를 업로드해 PhantomRaven 정보 탈취 악성코드를 배포했다. 해당 악성코드는 LLM으로 작성된 것으로 분석되며, 2022년 11월부터 활동이 확인됐다.
개발자 환경에서 Git/npm 자격증명, CI/CD 환경변수(GitHub Actions, GitLab CI, Jenkins, CircleCI), 시스템 핑거프린트, 공인 IP 등이 공격자 서버로 전송된다. 기술·유통·숙박 업종 9개 기업이 영향을 받은 것으로 알려졌다.
패키지명 오탈자(typosquatting·slopsquatting)를 악용한 공급망 공격으로, 악성코드 본체는 외부 서버에서 실행 시점에 동적으로 내려받아(RDD 기법) 보안 도구의 정적 탐지를 우회했다.
문제가 된 두 npm 계정(jpdhellonpm1, jpd15)은 현재 접근 불가 상태다. PyPI 에서도 유사 패키지 유포가 시도된 사실이 확인되어 추가 모니터링이 필요하다.
개발자는 npm·PyPI 패키지 설치 전 패키지명 오탈자 여부를 반드시 확인하고, CI/CD 환경변수에 저장된 시크릿을 정기적으로 로테이션해야 한다. 알려지지 않은 패키지의 preinstall 스크립트 실행에 특히 주의가 필요하다.
본문
Ravie Lakshmanan 2026년 9월 18일 · 악성코드 / 사이버범죄
금전적 동기를 가진 위협 행위자가 npm 패키지 레지스트리를 통해 PhantomRaven이라는 JavaScript(JS) 기반 정보 탈취 악성코드를 개발·배포한 것과 연관된 것으로 드러났다.
CrowdStrike의 Counter Adversary Operations는 이번 주 공개한 분석 보고서에서 "개발자가 대형 언어 모델(LLM)을 이용해 이 악성코드를 작성했을 가능성이 높다는 결론을 고신뢰도로 내렸으며, 이는 장황한 주석, 플레이스홀더 코드, 통계적 토큰 분석 패턴을 근거로 한다"고 밝혔다.
PhantomRaven은 2025년 10월 말 Koi Security와 DCODX에 의해 처음 포착됐다. 이들은 100개 이상의 악성 패키지가 npm에 업로드된 슬롭스쿼팅(slopsquatting) 및 타이포스쿼팅(typosquatting) 캠페인에 주목했으며, 해당 패키지들은 개발자 PC에서 인증 토큰, CI/CD 시크릿, GitHub 자격증명을 탈취하는 데 사용됐다.
이 소프트웨어 공급망 공격은 패키지 자체가 보안 도구에 탐지되지 않도록, 패키지를 외부 서버에서 원격 동적 종속성(RDD, Remote Dynamic Dependency)을 불러오는 위장 수단으로 활용했다.
설치가 완료되면 원격 종속성에 내장된 악성코드는 개발자 환경에서 이메일 주소를 스캔하고, CI/CD 환경 정보를 수집하며, 공인 IP 주소를 포함한 시스템 핑거프린트를 수집해 공격자 제어 서버로 전송한다.
또한 런타임 세부 정보, 현재 날짜 및 시간, Git/npm 설정에서 가져온 사용자명과 이메일 주소, GitHub Actions·GitLab CI·Jenkins·CircleCI 등의 CI/CD 환경변수도 수집하도록 설계돼 있다.
CrowdStrike의 최신 분석에 따르면 이 위협 행위자는 2022년 11월부터 활동해왔으며, 기술·유통·숙박 업종을 포함한 9개 기업으로부터 버그 바운티(취약점 신고 포상금)를 수령한 버그 바운티 헌터임을 자처하고 있다.
CrowdStrike는 탈취된 정보가 스틸러 로그 판매 사이트에서 유통되는 정황은 포착되지 않았다고 밝히며, "해당 운영자는 버그 바운티 기회를 식별하는 용도로만 정보 탈취 악성코드를 활용하는 것으로 보인다"고 분석했다.
운영자가 관리하는 최소 두 개의 npm 계정이 PhantomRaven이 포함된 npm 패키지를 배포한 것으로 확인됐다. 두 계정 모두 작성 시점 기준으로 더 이상 접근할 수 없다.
- jpdhellonpm1 - transform-jsbi-to-bigint
- jpd15 - sort-imports-es6-autofix
같은 공격 작전과 연관된 다른 온라인 ID로는 jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11, packagedharsh 등이 있다.
보안 연구원 Maddie Stewart는 "2025년 8월 위협 행위자가 자신이 게시한 악성 npm 패키지를 통해 원격 코드 실행(RCE) 취약점을 발견했다고 주장했다"며 "해당 행위자는 대상 머신을 침해하고 preinstall 스크립트를 실행해 RCE를 달성했다고 설명했다"고 밝혔다.
아울러 해당 위협 행위자가 PhantomRaven과 유사한 정보 탈취 코드를 담은 패키지를 Python Package Index(PyPI) 저장소에도 업로드하려 시도한 정황이 포착됐다.
악성코드 생성에 LLM을 활용했을 가능성은 위협 행위자들이 이 기술을 작전에 점점 더 많이 도입하고 있음을 다시 한번 보여주며, 이러한 캠페인을 수행하는 데 드는 시간과 노력이 줄어들고 있음을 시사한다.
CrowdStrike는 "대부분의 범죄 행위자들은 범용 도구를 임대하거나 자체 맞춤형 악성코드를 운영하지만, 이 위협 행위자는 고유의 PhantomRaven을 직접 개발해 기업 자산을 침해한 뒤, 이를 신뢰할 수 있는 정보 공개 프로그램에서 보상을 청구하는 데 활용했을 가능성이 높다"고 결론지었다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
