"오픈소스에 15만개 악성 패키지가…", SW 공급망 노리는 해커들

머니투데이

황국상 기자

임종철 디자이너 /사진=임종철 디자이너

오픈소스를 활용한 SW(소프트웨어) 개발 비중이 90%에 이르는 상황에서 오픈소스에 악성코드를 심어 배포하는 형식의 공격도 급증했다는 분석이 나왔다.

엔터프라이즈용 클라우드 네이티브 애플리케이션 보안 기업 체크막스는 지난해 한 해에만 오픈소스에서 15만878개의 악성 패키지를 발견했다고 20일 밝혔다. 체크막스는 "이는 같은 해 보고된 CVE(컴퓨터 보안 결함 리스트) 취약점 개수 2만5226개의 6배에 이르는 것"이라고 했다.

오픈소스에 악성코드가 이처럼 많이 발견된 것은 SW 개발 과정에서 개발자들이 처음부터 코딩을 통해 SW를 만들기보다는 신뢰할 수 있을 만한 오픈소스를 내려받아 이를 기초로 개발하는 관행이 일반적인 것을 노린 공격이 많아졌기 때문이다.

체크막스코리아에 따르면 오픈소스가 SW 개발에 활용되는 비중은 90% 이상에 달할 정도로 대세가 됐다. 자바스크립트 프로그래밍 언어를 위한 패키지 관리자 NPM에서는 지난해 월 평균 70만건 이상의 SW 패키지가 배포됐다. 이는 2017년 월 평균치(약 10만건)의 7배에 이른다.

체크막스코리아는 "오픈소스소프트웨어(OSS)의 경우 무단 액세스 권한을 얻거나 중요한 데이터를 훔치기 위해 취약한 종속성을 악용하는 경우가 많으며 시스템을 손상시키기 위한 공격 벡터로 악용되기도 한다"고 설명했다. 그 대표적인 예로 솔라윈즈(SolarWinds)와 같은 악의적인 행위자가 공급업체의 배포판을 활용해 더 큰 공격을 위해 시스템을 해킹하는 경우, 로그포쉘(Log4Shell)의 예와 같이 복잡한 애플리케이션의 생성에서의 우발적인 보안 결함을 노린 경우 등이 꼽혔다.

박찬수 체크막스코리아 실장은 "SW 공급망 공격자와의 싸움은 갈수록 지능화할 것으로 보인다"며 "이같은 악성 패키지가 SDLC에 유입되지 않도록 방지하는 것이 무엇보다 중요하다"고 했다.