Commodity Toolkit 기반 Supply Chain 공격의 자동화 및 규모 확장 분석

Context

Open-source package registry와 GitHub Actions CI/CD 워크플로우를 겨냥한 공격 체계의 변화 분석. 숙련된 해커의 개별적 공격에서 commodity toolkit을 활용한 저숙련 공격자의 대규모 자동화 공격으로 패러다임 전환 발생.

Technical Solution

• Scripted Account Creation을 통한 다수 레지스트리(npm, PyPI, Crates.io, Packagist) 동시 공략 구조 설계
• Base64-encoded shell payload와 GitHub Releases를 활용한 표준화된 배포 파이프라인 구축
• Forged/Compromised GitHub bot identity를 통한 CI/CD workflow injection 자동화 구현
• 개별 정교함보다 공격 빈도를 극대화하는 Volume-driven attack 전략 채택
• 다수 에코시스템에 동시 배포하는 Multi-registry publishing 스크립트로 운영 효율성 확보

Impact

• Megalodon 캠페인을 통해 6시간 내 5,561개 GitHub 저장소에 5,718건의 자동화된 commit 수행
• TrapDoor 캠페인을 통해 3개 레지스트리(npm, PyPI, Crates.io)에 걸쳐 34개 패키지 동시 배포

Key Takeaway

공격 툴킷의 범용화로 인해 개별 공격의 정교함(Sophistication)은 낮아지나, 자동화를 통한 공격 표면(Attack Surface)의 확장 속도는 기하급수적으로 증가하는 Asymmetric Leverage 현상 파악 필요.