파이썬 공식 저장소, 악성코드 패키지 116개 발견

개발자 대상 대규모 전파 노려, 1년간 1만 다운로드 발생

파이썬 패키지용 공개 저장소인 파이썬 패키지 색인(PyPI)에서 악성코드가 포함된 패키지가 발견되어 사용에 주의가 요구된다.

3일(현지시간) 미국 지디넷 등 외신에 따르면 사이버보안기업 EST리서치가 PyPI 조사결과 악성 패키지를 발견했다고 밝혔다.

PyPI은 인기 프로그래밍 언어인 파이썬의 공식 저장소로 개발자가 만든 소프트웨어(SW)를 저장하거나 효율적인 배포를 위해 사용된다. 현재 50만4천348개의 프로젝트가 진행 중으로 523만2천687개의 패키지가 릴리즈 되고 있다. 저장소를 이용하는 사용자는 77만 명에 달한다.

파이썬 패키지 공개 저장소 '파이썬 패키지 색인'(이미지=구글)

PyPI은 많은 사용자를 대상으로 SW를 배포하기 위해 개발된 만큼 이를 악용할 경우 많은 개발자 PC나 기업 시스템을 악성코드로 감염시킬 우려가 있다. 특히 제품이나 서비스를 만드는 개발자를 대상으로 하는 만큼 피해는 더욱 확대될 가능성이 크다.

지난 1년간 조사한 결과에 따르면 PyPI에 등록된 53개 프로젝트에서 총 116개의 악성 패키지를 발견했다. 악성 패키지는 하루 약 80건씩 총 1만 회 이상 다운로드가 발생한 것으로 나타났다.

패키지에 포함된 악성코드를 조사한 결과 사이버 스파이 기능을 갖춘 맞춤형 백도어로 윈도와 리눅스를 모두 대상으로 한다. 윈도 타깃 패키지는 백도어가 파이썬으로 구현됐으며 리눅스 백도어는 GO를 사용했다.

악성코드는 원격 명령 실행 및 파일 추출이 가능하며 스크린샷을 촬영하는 기능도 포함됐다. 일부 악성코드는 개인 데이터와 자격 증명을 훔치는 W4SP 스틸러의 변종이나 암호화폐를 훔치는 클립보드 모니터도 확인됐다. 클립보드 모니터는 비트코인, 이더리움, 모네로, 라이트코인을 주로 타깃으로 삼았다.

ESET은 확인된 악성 패키지는 현재 PyPI에 의해 서비스가 중단됐다고 밝혔다. 하지만 파이썬이 가장 많이 쓰이는 프로그래밍 언어 중 하나인 만큼 개발 중인 코드에 관련 패키지가 포함되지 않았는지 확인이 필요하다고 지적했다.

EST리서치의 마크에티엥 레베이예 연구원은 “우리는 이러한 PyPI을 이용한 사이버공격이 계속될 것으로 예상하고 있다”며 “개발자들은 공개 SW저장서에서 다운로드한 코드를 시스템에 설치하기 전에 점검을 거치는 등 주의를 기울이길 바란다”고 말했다.