개발자들은 수년간 취약한 의존성(dependencies)을 걱정해 왔습니다.

요약

npm, PyPI, Rust crates를 대상으로 하는 새로운 'TrapDoor' 악성 코드 캠페인이 발견되었습니다. 설치 스크립트와 셸 실행 등을 통해 자격 증명을 탈취하거나 가상자산 지갑을 공격하는 수법을 사용합니다.

핵심 포인트

• TrapDoor 캠페인은 npm, PyPI, Rust 패키지 생태계를 공격함
• 설치 스크립트 및 셸 실행을 통한 악성 코드 주입
• 자격 증명 탈취 및 암호화폐 지갑 잔액 소진 위험
• 패키지 설치 시 보안 위협 모델 고려 필요