ESTsecurity 알약 블로그 (blog.alyac.co.kr)
Chai.js 플러그인으로 위장한 북한발 npm 악성 패키지 'chai-as-init' 분석 · 2026-06-16
summary: 이스트시큐리티 대응센터(ESRC)는 공급망 위협 모니터링을 통해 유명 테스트 프레임워크인 Chai.js의 플러그인으로 위장한 악성 npm 패키지(chai-as-init)가 v1.4.5 ~ v1.4.7까지 총 3개 버전으로 배포된 사실을 확인했습니다.이 패키지는 설치 또는 코드에서 불러오는 즉시 외부 서버에서 악성 코드를 내려받아 실행하며, 시스템의 자격증명을 탈취하는 인포스틸러와 원격 명령을 수행하는 RAT 기능을 함께 갖추고 있습니다. 패키지 개요 chai-as-init 패키지는 인기 패키지인 chai 및 chai-as-promised 패키지명을 모방한 타이포스쿼팅 (Typosquatting)기법을 사용했으나 내부 코드는 전혀 다릅니다. 공격자는 정상 Node.js 로깅 라이브러리인 pino의 .. | attribution sentence: [그림 7] C2 전송 JSON 파일 구조 위협 귀속: 북한 Contagious Interview 캠페인 자체 조사 결과, 이미 이전에 보고된 다수의 'chai-as-*' 패키지가 북한 연계 'Contagious Interview' 캠페인의 일환으로 확인된 바 있으며, 이번에 분석한 'chai-as-init' 패키지 역시 기존 패키지들과 공격 기법(TTP) 및 인프라 구성 패턴 양면에서 일치하는 양상을 보였습니다. | target sentence: 💡 참고하세요 Contagious Interview 캠페인이란? Contagious Interview는 북한 연계 위협 그룹이 IT 개발자를 표적으로 삼아 진행하는 대규모 공급망 공격 캠페인입니다.