마이크로소프트, 새로운 소규모 NPM 공급망 공격 조사 중 - Tekedia

마이크로소프트가 ‘Mini Shai-Hulud’로 불리는 새로운 npm 공급망 공격을 조사하고 있다.

이번 캠페인은 AntV 패키지에 악성 훅을 삽입했을 가능성이 있으며, 자격 증명 탈취와 전이성 의존성 오염이 우려된다.

이번 사례는 하나의 오픈소스 패키지 침해가 하위 애플리케이션 전반으로 악성 코드를 확산시킬 수 있음을 보여준다.

이는 기업과 CI/CD 파이프라인에서 JavaScript 공급망 보안 위험이 커지고 있음을 시사한다.