PyTorch Lightning에서 발견된 Shai-Hulud 테마 악성코드

Shai-Hulud Themed Malware Found in the PyTorch Lightning AI Training Library

Apr 30, 2026•j12y•View Original

TL;DR Highlight

lightning 2.6.2·2.6.3이 import만 해도 자격증명을 훔치는 악성코드로 오염됐다

Who Should Read

PyTorch Lightning으로 학습·파인튜닝 파이프라인을 돌리며 pip로 의존성을 설치하는 ML·백엔드 개발자

Core Mechanics

lightning 두 버전이 오염됐다
- PyPI 패키지 lightning의 2.6.2, 2.6.3이 2026년 4월 30일 공급망 공격을 받았다.
- pip install 후 import만 하면 숨겨진 _runtime 디렉터리의 난독화된 JavaScript 페이로드가 자동 실행된다.
훔치는 범위가 넓다
- 로컬 파일의 80개 이상 자격증명 경로, 환경 변수, GitHub Actions 시크릿을 노린다.
- AWS·Azure·GCP의 시크릿 저장소(Secrets Manager, Key Vault, Secret Manager)까지 열어 본다.
유출 경로가 4개다
- C2 서버로 HTTPS POST, GitHub 커밋 검색 dead-drop, 공격자 공개 저장소, 피해자 저장소 직접 push를 병행한다.
- 한 경로가 막혀도 데이터가 빠져나가도록 설계됐다.
PyPI에서 시작해 npm으로 퍼진다
- npm publish 토큰을 찾으면 그 토큰으로 배포 가능한 모든 패키지에 dropper를 심고 preinstall 스크립트를 설정한다.
- 패치 버전을 올려 재배포해서 하위 개발자까지 감염시키는 웜 구조다.
Claude Code·VS Code에 persistence를 심는다
- .claude/settings.json에 SessionStart 훅을, .vscode/tasks.json에 folderOpen 태스크를 써서 저장소를 열 때마다 setup.mjs를 실행한다.
- 원문은 Claude Code 훅 악용이 실제 공격에서 처음 문서화된 사례 중 하나일 수 있다고 쓴다.
악성 GitHub Actions 워크플로도 심는다
- 쓰기 권한 토큰이 있으면 Formatter 워크플로를 push한다.
- push마다 toJSON(secrets)로 전체 시크릿을 덤프해 format-results 아티팩트로 올린다.

Community Reactions

커뮤니티가 공급망 공격 빈도를 체감한다는 의견
- 최근 주요 패키지 공급망 공격이 연이어 보인다는 의견이 있었다.
- 해커·아마추어 코드가 많은 프로젝트의 의존성이 되는데 쉬운 방어 도구가 부족하다는 의견이다.
pip 쿨다운 옵션을 알려 준 정보
- pip 26.1부터 쿨다운이 추가됐다는 댓글이 있었다.
- pip install --uploaded-prior-to=P1D 또는 PIP_UPLOADED_PRIOR_TO=P1D 환경 변수로 쓴다.
lock 파일 고정이 효과 있었다는 경험
- 단일 uv.lock 모노레포에서 1년에 몇 번만 업데이트해서 lightning이 2.6.1에 고정돼 있었다는 경험이 올라왔다.
- 메인테이너는 2.6.4를 낼 때까지 2.6.1을 쓰라고 안내했다.
AI가 제안한 pip install을 그냥 실행하는 위험이라는 의견
- Claude Code가 제안한 패키지를 엔터로 설치하는 경우가 많은데 모델은 몇 달 전 학습이라 이번 주 오염을 모른다는 의견이 있었다.
이슈 대응에 의문을 제기한 댓글
- 보안 이슈 4건이 봇 pl-ghost에 의해 자동 댓글 후 닫혔다는 지적이 있었다.
- 4월 20일에 2.6.2 릴리스가 내부 사유로 막혀 있다던 답변이 있어 사전 인지 여부를 궁금해하는 댓글이 있었다.

How to Apply

오늘 lightning 버전부터 확인하기
- pip show lightning과 lock 파일에서 2.6.2·2.6.3이 있는지 CI 이미지와 로컬 모두 확인하라.
- 있으면 2.6.1로 고정하고 2.6.4 공개 전까지 유지하라.
감염 흔적 파일 검색하기
- 저장소에서 .claude/settings.json, .claude/setup.mjs, .claude/router_runtime.js, .vscode/tasks.json, .vscode/setup.mjs를 찾아 낯선 내용이 있는지 보라.
- GitHub에서 커밋 메시지 EveryBoiWeBuildIsAWormyBoi와 설명 "A Mini Shai-Hulud has Appeared"도 검색하라.
해당 환경의 자격증명 전부 교체하기
- 오염 버전을 import한 머신은 완전히 감염된 것으로 보고 GitHub 토큰, 클라우드 자격증명, API 키, npm 토큰을 교체하라.
- 저장소 Actions에 Formatter 워크플로와 format-results 아티팩트가 있는지도 확인하라.
pip 쿨다운 적용하기
- pip 26.1 이상에서 pip config set global.uploaded-prior-to P1D를 설정하라.
- 새로 올라온 버전을 하루 늦게 받아 오염 버전 설치를 줄여라.

Try It

복사해서 바로 해보기

# 셸에 그대로 붙여넣기: 현재 환경과 저장소에서 lightning 감염 여부 점검

pip show lightning | grep -i '^version'
pip list 2>/dev/null | grep -i '^lightning '
grep -rnE 'lightning[=@ ]*2\.6\.(2|3)' requirements*.txt poetry.lock uv.lock Pipfile.lock 2>/dev/null
for f in .claude/settings.json .claude/setup.mjs .claude/router_runtime.js .vscode/tasks.json .vscode/setup.mjs; do [ -e "$f" ] && echo "확인 필요: $f"; done
git log --all --oneline | grep -i 'EveryBoiWeBuildIsAWormyBoi'
python -c "import importlib.util,os;s=importlib.util.find_spec('lightning');print('_runtime 존재' if s and os.path.isdir(os.path.join(os.path.dirname(s.origin),'_runtime')) else '_runtime 없음')"
pip config set global.uploaded-prior-to P1D

Terminology

공급망 공격내가 쓰는 라이브러리 배포 과정을 오염시켜 설치한 사람을 감염시키는 공격이다. 식당 납품 재료에 독을 타는 것과 비슷하다.

dead-drop공격자와 악성코드가 직접 연결하지 않고 공개된 곳에 메시지를 남겨 주고받는 방식이다. 여기서는 GitHub 커밋 메시지가 우체통 역할을 한다.

C2악성코드가 훔친 데이터를 보내고 명령을 받는 공격자 서버다.

IOC감염 여부를 판단할 수 있는 흔적이다. 파일 이름, 커밋 메시지, 저장소 설명 등이 있다.

persistence악성코드가 재부팅이나 재실행 후에도 살아남도록 자동 실행 지점에 심어 두는 것이다.

쿨다운새 버전이 올라오고 일정 시간이 지난 뒤에만 설치하도록 막는 설정이다. 그 사이 오염이 발견될 시간을 번다.

Related Resources

PyTorch Lightning에서 발견된 Shai-Hulud 테마 악성코드

Shai-Hulud Themed Malware Found in the PyTorch Lightning AI Training Library

Apr 30, 2026•j12y•View Original

TL;DR Highlight

lightning 2.6.2·2.6.3이 import만 해도 자격증명을 훔치는 악성코드로 오염됐다

Who Should Read

PyTorch Lightning으로 학습·파인튜닝 파이프라인을 돌리며 pip로 의존성을 설치하는 ML·백엔드 개발자

Core Mechanics

lightning 두 버전이 오염됐다
- PyPI 패키지 lightning의 2.6.2, 2.6.3이 2026년 4월 30일 공급망 공격을 받았다.
- pip install 후 import만 하면 숨겨진 _runtime 디렉터리의 난독화된 JavaScript 페이로드가 자동 실행된다.
훔치는 범위가 넓다
- 로컬 파일의 80개 이상 자격증명 경로, 환경 변수, GitHub Actions 시크릿을 노린다.
- AWS·Azure·GCP의 시크릿 저장소(Secrets Manager, Key Vault, Secret Manager)까지 열어 본다.
유출 경로가 4개다
- C2 서버로 HTTPS POST, GitHub 커밋 검색 dead-drop, 공격자 공개 저장소, 피해자 저장소 직접 push를 병행한다.
- 한 경로가 막혀도 데이터가 빠져나가도록 설계됐다.
PyPI에서 시작해 npm으로 퍼진다
- npm publish 토큰을 찾으면 그 토큰으로 배포 가능한 모든 패키지에 dropper를 심고 preinstall 스크립트를 설정한다.
- 패치 버전을 올려 재배포해서 하위 개발자까지 감염시키는 웜 구조다.
Claude Code·VS Code에 persistence를 심는다
- .claude/settings.json에 SessionStart 훅을, .vscode/tasks.json에 folderOpen 태스크를 써서 저장소를 열 때마다 setup.mjs를 실행한다.
- 원문은 Claude Code 훅 악용이 실제 공격에서 처음 문서화된 사례 중 하나일 수 있다고 쓴다.
악성 GitHub Actions 워크플로도 심는다
- 쓰기 권한 토큰이 있으면 Formatter 워크플로를 push한다.
- push마다 toJSON(secrets)로 전체 시크릿을 덤프해 format-results 아티팩트로 올린다.

Community Reactions

커뮤니티가 공급망 공격 빈도를 체감한다는 의견
- 최근 주요 패키지 공급망 공격이 연이어 보인다는 의견이 있었다.
- 해커·아마추어 코드가 많은 프로젝트의 의존성이 되는데 쉬운 방어 도구가 부족하다는 의견이다.
pip 쿨다운 옵션을 알려 준 정보
- pip 26.1부터 쿨다운이 추가됐다는 댓글이 있었다.
- pip install --uploaded-prior-to=P1D 또는 PIP_UPLOADED_PRIOR_TO=P1D 환경 변수로 쓴다.
lock 파일 고정이 효과 있었다는 경험
- 단일 uv.lock 모노레포에서 1년에 몇 번만 업데이트해서 lightning이 2.6.1에 고정돼 있었다는 경험이 올라왔다.
- 메인테이너는 2.6.4를 낼 때까지 2.6.1을 쓰라고 안내했다.
AI가 제안한 pip install을 그냥 실행하는 위험이라는 의견
- Claude Code가 제안한 패키지를 엔터로 설치하는 경우가 많은데 모델은 몇 달 전 학습이라 이번 주 오염을 모른다는 의견이 있었다.
이슈 대응에 의문을 제기한 댓글
- 보안 이슈 4건이 봇 pl-ghost에 의해 자동 댓글 후 닫혔다는 지적이 있었다.
- 4월 20일에 2.6.2 릴리스가 내부 사유로 막혀 있다던 답변이 있어 사전 인지 여부를 궁금해하는 댓글이 있었다.

How to Apply

오늘 lightning 버전부터 확인하기
- pip show lightning과 lock 파일에서 2.6.2·2.6.3이 있는지 CI 이미지와 로컬 모두 확인하라.
- 있으면 2.6.1로 고정하고 2.6.4 공개 전까지 유지하라.
감염 흔적 파일 검색하기
- 저장소에서 .claude/settings.json, .claude/setup.mjs, .claude/router_runtime.js, .vscode/tasks.json, .vscode/setup.mjs를 찾아 낯선 내용이 있는지 보라.
- GitHub에서 커밋 메시지 EveryBoiWeBuildIsAWormyBoi와 설명 "A Mini Shai-Hulud has Appeared"도 검색하라.
해당 환경의 자격증명 전부 교체하기
- 오염 버전을 import한 머신은 완전히 감염된 것으로 보고 GitHub 토큰, 클라우드 자격증명, API 키, npm 토큰을 교체하라.
- 저장소 Actions에 Formatter 워크플로와 format-results 아티팩트가 있는지도 확인하라.
pip 쿨다운 적용하기
- pip 26.1 이상에서 pip config set global.uploaded-prior-to P1D를 설정하라.
- 새로 올라온 버전을 하루 늦게 받아 오염 버전 설치를 줄여라.

Try It

복사해서 바로 해보기

# 셸에 그대로 붙여넣기: 현재 환경과 저장소에서 lightning 감염 여부 점검

pip show lightning | grep -i '^version'
pip list 2>/dev/null | grep -i '^lightning '
grep -rnE 'lightning[=@ ]*2\.6\.(2|3)' requirements*.txt poetry.lock uv.lock Pipfile.lock 2>/dev/null
for f in .claude/settings.json .claude/setup.mjs .claude/router_runtime.js .vscode/tasks.json .vscode/setup.mjs; do [ -e "$f" ] && echo "확인 필요: $f"; done
git log --all --oneline | grep -i 'EveryBoiWeBuildIsAWormyBoi'
python -c "import importlib.util,os;s=importlib.util.find_spec('lightning');print('_runtime 존재' if s and os.path.isdir(os.path.join(os.path.dirname(s.origin),'_runtime')) else '_runtime 없음')"
pip config set global.uploaded-prior-to P1D

Terminology

공급망 공격내가 쓰는 라이브러리 배포 과정을 오염시켜 설치한 사람을 감염시키는 공격이다. 식당 납품 재료에 독을 타는 것과 비슷하다.

dead-drop공격자와 악성코드가 직접 연결하지 않고 공개된 곳에 메시지를 남겨 주고받는 방식이다. 여기서는 GitHub 커밋 메시지가 우체통 역할을 한다.

C2악성코드가 훔친 데이터를 보내고 명령을 받는 공격자 서버다.

IOC감염 여부를 판단할 수 있는 흔적이다. 파일 이름, 커밋 메시지, 저장소 설명 등이 있다.

persistence악성코드가 재부팅이나 재실행 후에도 살아남도록 자동 실행 지점에 심어 두는 것이다.

쿨다운새 버전이 올라오고 일정 시간이 지난 뒤에만 설치하도록 막는 설정이다. 그 사이 오염이 발견될 시간을 번다.

PyTorch Lightning에서 발견된 Shai-Hulud 테마 악성코드

TL;DR Highlight

Who Should Read

Core Mechanics

Community Reactions

How to Apply

Try It

Terminology

관련 논문

Related Resources

PyTorch Lightning에서 발견된 Shai-Hulud 테마 악성코드

TL;DR Highlight

Who Should Read

Core Mechanics

Community Reactions

How to Apply

Try It

Terminology

관련 논문

Related Resources