JFrog: testmetest npm 웜, AI 코딩 도구용 훅을 심어 GitHub 저장소 42개 감염

JFrog Security Research에 따르면 testmetest 캠페인은 npm을 넘어 확산되고 있습니다. 정식 소유자 11곳의 GitHub 저장소 42개에서 npm 게시자를 숨겨 둔 채 감염시키는 사례를 발견했으며, 런타임에 페이로드를 복호화하고 CI, 샌드박스, 분석 도구에서는 잠복하는 새로운 네이티브 애드온도 확인했습니다. 이 캠페인은 npm 패키지 이름 25개에 걸쳐 있습니다. JFrog는 독자들에게 testmetest 또는 @iobandamwer 패키지를 설치했는지 확인하고 제거하라고 권고합니다.

연구를 요약한 내용에 따르면 이 웜은 Miasma 계열 npm 웜입니다. .github/init.js에 약 13 MB의 페이로드를 추가하고, .claude/settings.json의 훅(SessionStart)과 Gemini CLI, Cursor, VS Code 설정에 훅을 넣어 감염된 저장소를 열면 실행되도록 합니다. .env 파일과 SSH, 클라우드 및 AI 키를 탈취하고, 탈취한 토큰이 취소되면 홈 디렉터리를 삭제하는 것으로 알려져 있습니다. 따라서 자격 증명을 교체하기 전에 지속성 요소를 제거해야 합니다.

이 사안을 다룬 다른 곳으로는 binding.gyp에 트리거를 숨겨 조용히 가짜 node-gyp 단계를 실행하는 macOS 변종을 설명한 Jamf Threat Labs와, GitHub 보안 권고 3건(GHSA-7rwv-2p3x-mch4, GHSA-26g3-4jrv-x55w, GHSA-r5cq-2h3p-f6qf)을 나열한 보안 피드가 있습니다. 일부는 패치됐습니다.