개발자들이 자주 쓰는 오픈소스 라이브러리 'Baileys'(왓츠앱 자동화 도구)를 위장한 악성 npm 패키지 101개가 발견됐습니다. 이 패키지들을 설치하면 개발자의 왓츠앱 계정이 본인도 모르게 공격자가 운영하는 채널이나 그룹에 자동으로 가입됩니다. 지금까지 약 49만 번 다운로드됐고, 최근 한 달 새에만 11만 6천 건이 발생할 정도로 빠르게 퍼지고 있습니다. 공격자들은 팔로워 수를 봇 판매·불법 앱 판매 등의 '신뢰도 증명'으로 악용하고 있는 것으로 보입니다. 개발자는 본인 왓츠앱 계정이 낯선 그룹에 가입돼 있는지 확인하고, 개인 왓츠앱 계정을 연동해야 하는 패키지 사용을 피해야 합니다.
오픈소스 왓츠앱 라이브러리 'Baileys'를 사칭한 악성 npm 패키지 101개가 발견됐으며, 이를 설치하면 개발자의 왓츠앱 계정이 동의 없이 특정 그룹·채널에 가입된다.
해당 패키지들은 누적 49만 회, 최근 30일간 11만 6천 회 다운로드됐으며, 피해자의 왓츠앱 계정이 봇 판매·불법 앱 홍보 채널의 팔로워 수를 부풀리는 데 악용됐다.
공격자들이 정상 오픈소스 프로젝트 Baileys를 변형(fork)한 패키지를 npm에 배포하면서, 채널 ID를 코드에 하드코딩하거나 GitHub에서 실시간으로 불러오는 방식으로 구독 루틴을 숨겨두었다.
보안업체 OX Security가 패키지 목록과 3가지 변종 수법을 공개했으며, 개발자에게 본인 계정의 그룹 가입 여부 확인, 해당 그룹 차단, 악성 패키지 탐지 규칙 적용, 개인 계정 연동이 필요한 패키지 사용 자제를 권고했다.
사내 개발 환경에서 npm 패키지, 특히 메신저 계정 연동이 필요한 패키지를 도입할 때는 출처와 평판을 반드시 검증하고, 유사 이름의 포크 패키지에 주의해야 한다.
본문
Ravie Lakshmanan 2026년 9월 29일 공급망 / 악성코드
사이버보안 연구자들이 PhantomSub이라 명명된 왓츠앱 그룹 구독자 캠페인에 개발자들을 끌어들이는 데 사용된 101개의 npm 패키지 군집을 확인했습니다.
OX Security의 연구원 Nir Zadok, Moshe Siman Tov Bustan, Vitalii Chepurko는 월요일 발표한 기술 분석 보고서에서 "이 악성 패키지들은 오픈소스 프로젝트 'Baileys'(왓츠앱 자동화 도구)를 악용해 피해자를 동의 없이 그룹에 추가한다"고 밝혔습니다.
이 패키지들은 누적 49만 회 다운로드됐으며, 이 중 11만 6천 회는 최근 30일 동안 발생했습니다. 일부 패키지 이름은 다음과 같습니다 -
- ourin-baileys
- @nexustechpro/baileys
- @badzz88/baileys
- @ostyado/baileys
- levvleys
- @vanzxy/baileys
- @yudzxml/baileys
- @chatunity/baileys
- @kelvdra/baileys
- neuralwhatsapp
- lilys-baileys
- @fyxzpediaa/baileys
- noxleyss
- @xrelly-stack/bails
- alipclutch-baileys
- kurobails
- eliteprotech-baileys
- @xayz/baileys
- chromestaff-baileys
- @sanzoffc/baileys
- @sairidev/baileys-new
- cloud-baileys
- @nyzzpediaa/baileys-new
- ishumdz-bail
- nishiki-bail
- diezyclutch-baileys
- oktz-baileys
- my-auto-follow
이러한 활동의 세부 정황은 2026년 8월, SafeDep이 설치자의 왓츠앱 계정이 패키지 제작자가 관리하는 채널을 몰래 팔로우하게 만들고, 봇이 전송하는 모든 이미지와 동영상에 제작자의 광고 URL을 삽입하는 등의 악성 행위를 하는 Baileys npm 포크 세트를 확인하면서 처음 드러났습니다.
이달 초에는 Xygeni Security Research Team이 "@dappaoffc/baileys-mod"라는 또 다른 Baileys 변조판의 세부 정보를 공개했는데, 이 역시 개발자의 인증된 왓츠앱 봇 세션을 공격자가 통제하는 뉴스레터 채널에 구독시키는 것으로 확인됐습니다.
OX Security의 분석 결과, 각기 다른 구독 처리 방식을 구현한 3가지 악성코드 변종이 발견됐습니다 -
- 변종 1(19개 패키지): 실행 시점에 GitHub에서 채널 ID를 가져옴
- 변종 2(60개 패키지): 채널 ID를 소스코드에 평문으로 내장
- 변종 3(14개 패키지): 채널 ID를 소스코드에 인코딩 및 난독화된 형태로 내장
확인된 왓츠앱 그룹 중 하나는 인도네시아에 기반을 둔 것으로 추정되며, Mobile Legends: Bang Bang, TikTok 같은 모바일 게임 및 애플리케이션 계정을 홍보하고 있습니다. 이 게시물들은 "Dan"이라는 이름의 인도네시아 비즈니스 왓츠앱 계정과 연결된 전화번호도 명시하고 있습니다.
확인된 다른 그룹 및 채널은 다음과 같습니다 -
- Neural(팔로워 798명): 인게임 자원(음식, 광석, 돌, 목재, 금 등)을 판매하는 온라인 마켓플레이스인 JualanRSS를 이용해 RSS(Resource Supplies, 자원 공급) 판매를 홍보
- MONTE – BMG(팔로워 1,000명)
- CORTANA TECH(팔로워 1,300명)
- Fyxzpedia.ID – Utama(팔로워 4,800명)
OX Security는 "우리가 확인할 수 있었던 채널들은 대부분 소규모 봇 판매 및 '마켓' 채널로, 주로 인도네시아 지역에 있으며, 팔로워 수는 봇 스크립트, 봇 제작 서비스, '프리미엄' APK, 소셜미디어 부스팅 판매의 사회적 증거 역할을 한다"고 밝혔습니다.
"이 캠페인의 많은 패키지는 독립적이지 않습니다. 동일한 채널 ID, 동일한 원격 채널 목록, 동일한 GitHub 계정이 서로 다른 이름과 배포자를 가진 패키지들에 걸쳐 나타납니다. 채널을 공유한다는 것은 수혜자를 공유한다는 뜻입니다 — 패키지를 배포한 사람이 누구든, 그 채널을 소유한 사람이 해당 채널을 표적으로 삼은 모든 패키지로부터 팔로워를 얻게 됩니다."
개발자들은 자신이 해당 왓츠앱 그룹에 추가되었는지 확인하고, 이를 차단하며, 악성 npm Baileys 패키지를 차단하기 위한 탐지 규칙을 구성하고, 개인 왓츠앱 계정 연동이 필요한 패키지 사용을 자제할 것을 권고받았습니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
