Miasma 웜 악성코드에 의해 손상된 Microsoft 오픈 소스 리포지터리

실행 요약

Microsoft는 해커가 코드에 비밀번호를 탈취하는 악성코드를 주입한 후 GitHub에서 수십 개의 오픈 소스 프로젝트를 비활성화했습니다. 이번 공격은 Claude Code, Gemini의 CLI, VS Code와 같은 AI 기반 코딩 도구를 사용하는 개발자를 특정하여, 해당 도구가 손상된 리포지터리와 상호 작용할 때 민감한 자격 증명을 탈취했습니다.

침해 사건: Miasma 웜 및 공급망 공격

보안 업체 Cloudsmith와 OpenSourceMalware가 이번 침해를 최초로 식별했으며, 악성코드를 "Miasma 웜"으로 규정했습니다. 이 사건은 공급망 공격으로 분류되며, 공격자는 신뢰받는 코드 소스를 손상시켜 광범위한 하위 사용자에게 악성코드를 배포합니다.

영향 규모: 악성 콘텐츠가 발견된 후 서비스 약관 위반으로 GitHub 직원이 최소 70개의 Microsoft 프로젝트를 비활성화했습니다.

대상 도구: 악성코드는 사용자가 AI 코딩 애플리케이션 내에서 손상된 도구를 열 때 트리거되도록 설계되었습니다.

영향을 받은 생태계: 이번 침해는 Microsoft Azure와 다양한 AI 개발 유틸리티와 관련된 프로젝트에 영향을 미쳤으며, homebrew-functions 탭도 포함됩니다.

Microsoft의 대응 및 복구

Microsoft는 잠재적인 악성 콘텐츠를 조사하기 위해 리포지터리 삭제를 확인했습니다. 회사 대변인 Ben Hope는 일부 리포지터리가 검토 후 복구되었으며, 다른 리포지터리는 여전히 오프라인 상태라고 밝혔습니다. Microsoft는 영향을 받은 리포지터리에서 콘텐츠를 다운로드했을 가능성이 있는 소수의 고객에게 통보했으며, 추가 조치가 필요할 경우 기존 지원 채널을 통해 추가 소통을 진행할 예정입니다.

반복되는 취약점 및 Durable Task 프로젝트

이번 사건은 2026년 5월 중순에 발생한 유사한 침해 사건에 이어 일어났으며, 당시 "Durable Task" 프로젝트(애플리케이션 구축 도구)가 손상되었습니다. OpenSourceMalware의 보안 연구원들은 현재 사건을 Durable Task 프로젝트의 "재침해"라고 설명했으며, 초기 복구 작업이 공격자를 완전히 제거하지 못했거나 새로운 별개의 침해가 발생했을 가능성을 제시했습니다.

기술 분석 및 커뮤니티 인사이트

산업 전문가와 개발자 커뮤니티는 이번 공격의 기술적 경로에 대해 여러 우려를 제기했습니다:

자격 증명 관리

개발자들은 "클래식" 개인 액세스 토큰(PAT)보다 세분화된 토큰을 사용하는 위험성을 지적했습니다. 자격 증명 탈취 공격의 파급 범위를 제한하기 위해 세분화된 토큰으로 전환할 것을 강력히 권고합니다.

AI 코딩 에이전트의 역할

"에이전시 개발 시대(Age of Agentic Development)"가 공격 표면을 확대하고 있다는 우려가 커지고 있습니다. AI 에이전트는 종종 높은 권한으로 작업을 자동화하기 때문에, 전통적인 인간 코드 리뷰를 우회하는 난독화된 악성 파일을 무심코 실행할 수 있습니다.

샌드박싱 및 SBOM

이러한 위험을 완화하기 위해 보안 전문가들은 다음을 권고합니다:

• 샌드박싱: 로컬 머신에서 직접 npm install 또는 pip install을 수행하는 대신 격리된 환경을 사용합니다.
• 엄격한 SBOM: 엄격한 소프트웨어 자재 명세서(SBOM)를 유지하고 최소 릴리스 연령 정책을 구현하여 새로 손상된 패키지 버전의 즉시 채택을 방지합니다.

"기업 내 공급망 문제 위험이 크게 증가했습니다... 이제 많은 곳에서 개발자와 관리자가 자신의 장치에서 직접 작업하도록 장려하고 있습니다."

완화 전략 요약

전략	목적	권장 조치
토큰 회전	자격 증명 탈취 방지	클래식 PAT에서 세분화된 토큰으로 전환
환경 격리	파급 범위 제한	패키지 설치를 위한 샌드박스 환경 사용
버전 고정	즉각적인 손상 방지	종속성에 대한 최소 릴리스 연령 정책 구현