Security

샤이훌루드 웜, 잠깐 공개됐을 뿐인데 벌써 변종 등장

문가용 기자

Published: 21:55, 19 May 2026 (Updated: 13:13, 20 May 2026)

💡

Editor's Pick
- 2025년 9월 첫 등장했던 샤이훌루드, 배후엔 팀PCP이 유력
- 하루도 안 되는 기간 동안 잠시 소스코드 유출되는 사고 발생
- 이미 NPM에 다양한 변종 등장...AI 바이브코딩과 결합된 듯

악명 높은 샤이훌루드(Shai-Hulud) 웜의 소스코드가 깃허브에 유출된 지 단 며칠 만에 아류들이 나타나기 시작했다. 보안 기업 옥스시큐리티(Ox Security)는 “NPM 개발자들을 겨냥한 공격에 샤이훌루드 변종이 악용되고 있다”고 하며, 따라서 “해당 리포지터리를 사용하는 개발자들에는 주의가 요구된다”고 경고했다. 아직 실제 피해 규모는 집계되지 않고 있다.

샤이훌루드 사태, 처음부터 지금까지

이 웜은 2025년 9월 처음 등장했다. 당시 오픈소스 생태계를 겨냥한 공급망 공격에 동원됐다가 잠시 모습을 감췄다. 몇 개월 후 다시 나타나서는 수백 개의 NPM 패키지를 감염시켰고, 이로 인해 적잖아 수천 명의 개발자가 크고 작은 영향을 받았을 것으로 추정된다. 기능은 단순했다. 크리덴셜, 토큰, API 키 등 민감 및 비밀 정보를 훔친 다음, 이걸 가지고 악성 업데이트를 푸시함으로써 스스로를 확산시키는 것이었다.

샤이훌루드가 나타났다 사라졌다를 반복하는 동안 보안 연구원들은 이를 꾸준히 추적했다. 그 결과 올해 초 팀PCP(TeamPCP)라는 해킹 그룹이 유력한 배후 세력으로 지목됐다. 팀PCP는 비트워든(Bitwarden), 체크막스(Checkmarx), SAP, 탄스택(TanStack) 등을 비롯해 각종 오픈소스 커뮤니티를 겨냥한 공격 캠페인을 감행했던 단체다. 하지만 배후 세력을 알았다고 해서 샤이훌루드에 대한 방어 체계가 더 단단해지거나 이해도가 높아진 건 아니었다.

그러다가 사건이 터졌다. 팀PCP가 샤이훌루드의 전체 소스코드를 깃허브에 잠시 업로드한 것이다. 해커들이 이를 빠르게 알아챘다. 곧이어 악명 높은 해킹 포럼인 브리치포럼즈(BreachForums)에 해당 소식이 공유되기 시작했으며, 공격자들은 “얼른 이 웜을 이용해 자기자신만의 공급망 캠페인을 시작하라”고 서로를 독려하기도 했다.

옥스시큐리티는 이런 해프닝 직후 NPM 생태계에서 4개의 악성 패키지를 찾아냈다. “이 패키지들에는 chalk-tempalte라는 요소가 포함돼 있었는데, 분석했더니 샤이훌루드의 복제본이었습니다. 원본을 보다 간소화한 버전으로, 핵심 기능을 고스란히 유지하고 있었습니다. 다만 자기 자신을 숨기려는 장치들은 많이 사라진 상태였습니다.” 핵심 기능이란 “훔친 크리덴셜을 새로운 깃허브 저장소에 업로드하는 것 등”을 말한다. 이 4개 패키지는 다음과 같다고 옥스 측은 알렸다.

1) @deadcode09284814/axios-util
2) axois-utils
3) chalk-tempalte
4) color-style-utils

이 패키지들을 통해 알 수 있는 것들이 몇 가지 있다고 옥스 측은 짚는다. “일단 공격자들이 기본적으로 타이포스쿼팅 기법을 이용하고 있음을 알 수 있습니다. 합법적이며 인기 높은 유틸리티를 매우 그럴듯하게 모방하고 있는 것이죠. 철자를 꼼꼼하게 확인하지 않는 개발자라면 충분히 속을 만합니다.” 이 패키지들 전체의 다운로드 수 총합은 2600회 이상이었다.

또 다른 건 4개 중 한 패키지가 크리덴셜 탈취 이상의 공격을 시도했다는 것이다. “분석했을 때 감염된 시스템을 디도스 봇넷에 유입시키는 기능이 발견됐습니다. 공격자가 다양한 경로로 수익을 창출하려 했다는 걸 알 수 있습니다. 물론 어느 정도 실제 성공과 피해에 이르렀는지는 명확히 알 수 없습니다만, 최소한 공격자들이 이런 저런 실험을 진행 중이라는 것은 분명합니다.”

해커들 간 정보 공유, 점점 빨라진다

옥스는 보고서를 통해 “샤이훌루드라는 악성 코드의 존재 자체가 큰 걱정거리는 아니”라고 강조한다. “소스코드가 아주 잠시(하루가 안 되는 기간으로 추정됨) 올라왔을 뿐인데, 이를 해커들이 적극 퍼 나르면서 공유하고, 공격을 권장하기까지 했습니다. 공격에 실제 활용될 수 있는 무기가 일부 해커들에게는 공짜로 주어진 것이죠. 이런 정보 유통만으로도 공격 난이도는 크게 낮아지고, 범죄로의 진입장벽은 낮아집니다.”

이를 두고 옥스는 “공격 도구의 오픈소스화”라고 표현한다. “오픈소스의 장점이 해커들의 신종 무기에 고스란히 녹아들고 있습니다. 저비용으로 빠르게 확산된다는 의미입니다. 기술적 난도가 대폭 낮아지니 공격자들은 공급망 공격이나 타이포스쿼팅 등 ‘전략 짜기’에 더 집중할 수 있게 됩니다. 단일 공격자가 다양한 기술과 다양한 악성코드를 활용하는 것이 흔한 일이 됐다는 것입니다. 이런 해커들 세상의 흐름을 잘 타고 있는 자들은 ‘1인 군단’이 됩니다.”

공격자들이 독려한 공격의 방식이 ‘공급망 공격’이라는 것도 눈에 띄는 점이라고 회사는 강조한다. 특히 개발자들을 노리는 ‘고효율 공격’의 유행이 식을 줄 모른다는 것에 산업 전체가 주목해야 할 것이라고 옥스는 경고한다. 지금은 NPM이라는 리포지터리가 집중받고 있지만, 곧 다른 리포지터리에서도 비슷한 사태가 일어날 것입니다. 샤이훌루드의 아류들이 곧 등장할 겁니다.”

지금은 인포스틸러가 주로 동반되는데, 곧 다른 멀웨어들이 수반될 수도 있다고 옥스는 전망하고 있다. 그것이 삭제형 멀웨어(와이퍼)가 될지 랜섬웨어가 될지, 혹은 채굴코드가 될지는 아무도 모른다. 소리소문 없이 피해자 컴퓨터를 봇넷에 편입시켜 공격 인프라로서 활용하는 행위가 이어질 가능성도 높다.

개발자들, 최우선 표적…그리고 바이브코딩

옥스는 “NPM 등 공공 리포지터리를 사용하는 모든 개발자들은 외부 패키지를 다운로드할 때 반드시 이름을 꼼꼼하게 확인하라”고 강조한다. “공격자들이 개발자를 노리는 건, 주로 개발 환경의 토큰과 CI/CD 크리덴셜을 가져가기 위해서입니다. 그러니 이런 정보들부터 신경 써서 보호하는 걸 촉구합니다. 무엇보다 ‘내가 지금 가장 선호되는 표적이다’라는 걸 자각하는 게 중요합니다.”

현재 NPM에는 ‘바이브코딩’을 통해 만들어진 정상 코드와 악성 코드의 증가 추세가 확연하다. 이 역시 옥스는 우려되는 대목이라고 짚는다. “바이브코딩이라는 유행 자체는 딱히 나쁘지도 좋지도 않습니다. 하지만 해커들이 바이브코딩을 통해 악성코드를 너무 쉽게 만들거나 변형시키기 때문에 문제입니다. 이번에 샤이훌루드가 잠시 오픈소스화 됐을 때, 누구든 소스코드를 가져갔다면 AI에 입력한뒤 ‘이 기능을 유지하되 디도스 봇넷 기능을 추가해줘’라고 요청하면 변종이 뚝딱 만들 수 있습니다. 실력이 어느 수준에 있든 상관 없이요.”

이미 이런 식으로 변종들이 만들어지고 있다고 옥스는 의심한다. “하나의 NPM 계정에서 위치 정보 수집용, 클라우드 크리덴셜 탈취용, 디도스 봇넷용 변종들이 발견됐어요. 이걸 수작업으로 했다면 이렇게까지 빠르게 등장하지 못했을 겁니다. 소스코드와 아이디어만 있다면 AI가 그걸 멋지게 조합시켜 주니 가능한 현상이죠. 해커들 간 빠른 정보 공유와 맞물려 이 악성 바이브코딩은 어마어마한 위력을 발휘할 것으로 예상합니다.” 🆃🆃🅔

by 문가용 기자(anotherphase@thetechedge.ai)