CPU 사용량 몇 퍼센트가 수년짜리 공급망 백도어를 잡아냈다 — xz-utils 사건

2024년 3월, 압축 라이브러리 xz-utils(liblzma)의 배포판 빌드 산출물 안에서 정교하게 숨겨진 백도어가 발견됐습니다. 이 백도어는 systemd 알림 기능을 쓰는 OpenSSH의 인증 경로를 타고 원격 코드 실행(RCE)으로 이어질 수 있었습니다. 발견 계기는 한 개발자가 로그인 과정에서 sshd의 CPU 사용량이 평소보다 유독 높다는 것을 이상하게 여긴 것이었습니다.