사이버 보안 기업 Dr. Web의 연구원들은 GitHub 플랫폼의 악성 소프트웨어 저장소(Repositories)를 통해 사이버 보안 전문가를 표적으로 삼는 악성코드 캠페인을 발견했습니다. 이 캠페인은 스캔 자동화, 모의 해킹, 로그 분석 등 유용한 보안 도구처럼 보이는 소프트웨어 프로젝트를 배포하지만, 실제로는 백도어(Backdoors)와 정보 탈취 악성코드를 설치합니다.
피해자 표적화의 진화 및 은폐 메커니즘
이 캠페인은 약 2년 전 시작되었으며 초기에는 암호화폐 지갑 사용자를 대상으로 했으나, 최근 공격자들은 기술 전문가를 표적으로 삼기 위해 전략을 변경했습니다. 현재까지 2,000대 이상의 Windows 운영 체제 시스템이 감염된 것으로 확인되었습니다.
이 캠페인은 전통적이면서도 효과적인 은폐 기법을 사용합니다. 악성 코드는 Visual Studio 프로젝트 파일, Python 스크립트, Go 소스 파일 내부에 통합됩니다. 코드는 탐지를 피하기 위해 긴 공백(Whitespace) 뒤에 숨겨집니다. 일부 Visual Studio 프로젝트에서는 '빌드 전 이벤트(Pre-build event)' 루틴을 악용하여 프로그램 컴파일 과정 이전에 악성 코드를 자동으로 실행합니다.
감염 체인 및 정교한 우회 기술
감염 과정은 PowerShell을 사용하여 암호화된 다운로드 링크를 가져오는 것으로 시작됩니다. 이 링크는 Electron 프레임워크를 기반으로 하며 'Microsoft.exe'라는 오해의 소지가 있는 이름을 가진 로더(Loader)를 다운로드합니다. 이 로더는 시스템 내에서 지속성을 확보하고 권한을 상승시키며, Windows의 보안 및 복구 기능을 비활성화한 뒤 합법적인 시스템 프로세스에 악성 코드를 주입합니다.
연구원들은 로더가 방어 체계를 우회하기 위해 두 가지 실행 모드를 사용한다고 설명했습니다.
- 모드 3 (Mode 3): 기본 모드로, explorer.exe 프로세스를 악성 파일의 부모 프로세스처럼 보이게 하고, Smart App Control을 비활성화하며, 메모리를 수정하여 스크립트 검사(AMSI) 및 이벤트 추적(ETW)을 비활성화하는 등 6가지 정교한 은폐 기술을 사용합니다.
- 모드 2 (Mode 2): 첫 번째 모드가 실패할 경우 사용되며, Microsoft Defender에 예외를 추가하고 PowerShell 스크립트를 사용하여 RegAsm.exe 프로세스에 페이로드를 주입하는 방식에 의존합니다.
최종 목표: 데이터 탈취 및 완전한 제어
주입이 성공하면 다음과 같은 최종 페이로드가 전송됩니다.
- AsyncRAT: 공격자에게 장치에 대한 완전한 제어권을 부여하는 백도어입니다.
- Clipper Malware: 클립보드에 있는 암호화폐 지갑 주소를 공격자가 소유한 주소로 교체하는 악성코드입니다.
- Infostealer: 브라우저 정보, VPN 설정, FTP 클라이언트 구성 파일, 게임 계정 데이터, Discord 토큰 등을 수집한 뒤 Telegram 봇을 통해 전송하는 데이터 탈취 프로그램입니다.
또한, 이 악성코드는 ESET, McAfee, Malwarebytes와 같은 유명 보안 프로그램을 제거하고 Windows의 백업 프로세스를 비활성화하려고 시도합니다.
전문가들이 주목해야 할 점
이번 사태는 공격자들의 행동 방식에 있어 위험한 변화를 나타냅니다. 일반 사용자를 표적으로 삼는 대신, 보안 전문가들이 직접 의존하는 '업무 도구'를 표적으로 삼고 있습니다. 기술적으로 신뢰받는 GitHub 저장소를 위장 수단으로 사용한다는 것은 오픈 소스 도구에 대한 신뢰가 철저한 검증을 전제로 해야 함을 의미하며, 특히 출처를 알 수 없는 빌드 파일이나 자동화 스크립트가 포함된 프로젝트를 다룰 때는 더욱 주의가 필요합니다.