Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
Microsoft가 Mastra-AI npm 생태계를 대상으로 한 공급망 공격을 식별했습니다. 공격자는 계정 탈취를 통해 80개 이상의 패키지에 악성 팬텀 의존성을 주입하여 원격 페이로드를 실행했습니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 X 토픽: MCP의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기Microsoft는 npm 계정 탈취 (account takeover)를 통해 80개 이상의 패키지가 침해된 Mastra-AI npm 생태계에 대한 공급망 공격 (supply chain attack)을 식별했습니다. 공격자는 침해된 패키지에 팬텀 의존성 (phantom dependency)을 도입했습니다. 이 악성 의존성은 24시간 이내에 단 한 명의 익명 유지관리자에 의해 게시되었습니다.
침해된 [email protected]은 "dayjs"의 타이포스쿼팅 (typosquat)인 easy-day-js@^1.11.21 의존성을 추가하며, 이는 v1.11.22로 해결됩니다. 포스트 설치 스크립트 (post-install script)는 node setup.cjs를 실행하여 원격 페이로드 (remote payload)를 다운로드하고 실행합니다.
[email protected]의 포스트 설치 스크립트 동작:
이 공격은 [email protected], mastra/pg, mastra/mcp, mastra/schema-compat, mastra/ai-sdk, mastra/rag 및 80개 이상의 다른 패키지에 영향을 미칩니다.
Microsoft Defender for Endpoint 고객은 제목에 Trojan:JS/ObfusNpmJs가 포함된 경고를 모니터링하고 조치해야 합니다. 고객은 또한 다음의 침해 지표 (IOCs)를 확인할 수 있습니다:
사용자는 즉시 이전 버전으로 다운그레이드하고, [email protected]을 명시적으로 사용하며, 락파일 (lockfiles)을 사용할 것을 권장합니다.
[IMG:1]