닥터웹, 깃허브 보안 도구 위장 악성코드 분석 보고서 공개

러시아 보안업체 닥터웹(Dr.Web)이 11월 5일 깃허브(GitHub)에 올라온 악성 개발 프로젝트를 통해 유포되는 악성코드에 대한 기술 분석 보고서를 공개했다. 공격자들은 네트워크 스캔 자동화, 보안 시스템 테스트, 로그 분석 도구 등 보안 도구로 위장한 프로젝트를 내걸었다. 닥터웹은 자사 보고서에서 네트워크 스캐너 Fscan의 출력을 정리·시각화하는 도구로 소개된 가짜 저장소도 발견했다고 밝혔다.

악성 코드는 비주얼 스튜디오(Visual Studio) 프로젝트 파일(.csproj, .suo)과 파이썬·Go 소스 코드 안에 숨겨졌다. 일부 프로젝트는 컴파일 전에 명령을 실행하는 PreBuildEvent 기능을 악용했고, 파이썬·Go 소스에서는 코드 검토를 피하려고 긴 공백 뒤에 악성 코드를 배치했다. 공격자들은 비주얼 스튜디오 설치 방법과 저장소 복제 절차까지 안내해 사용자가 직접 프로젝트를 실행하도록 유도했다.

실행 단계에서 PowerShell 스크립트가 압축 파일을 내려받아 Microsoft.exe라는 프로그램을 설치하며, 이는 Trojan.Loader.3261로 분류된다. 분석 당시 최신 버전이 1.4.5였던 이 로더는 Electron 기반이며 윈도우 디펜더, UAC, 시스템 복원, 볼륨 섀도 복사본 서비스를 비활성화한다. 부모 프로세스 위장, 언후킹, ETW와 AMSI 비활성화 같은 회피 기법도 사용한다.

감염된 기기에는 서로 다른 네트워크 포트를 쓰는 AsyncRAT 백도어 2개가 설치된다. 보고서는 공격자 2명이 같은 기기를 동시에 통제하기 위한 것으로 보인다고 설명했다. Trojan.Clipper.688은 복사한 암호화폐 지갑 주소를 공격자가 지정한 주소로 바꾸고, JS.Stealer.191은 브라우저 데이터와 FileZilla, MobaXterm, Total Commander의 VPN·FTP 설정, 디스코드 토큰, 메신저 파일, 게임 계정 정보를 수집한다. 탈취한 데이터는 압축돼 텔레그램 봇을 통해 공격자에게 전송된다.

악성코드는 ESET, 맥아피, 멀웨어바이츠 등 보안 제품 제거를 시도하고 보안 업체 서버 접속도 차단한다. 닥터웹은 최근 발견된 가짜 보안 도구뿐 아니라 캠페인 전체에서 감염된 PC가 2000여 대라고 밝혔다. 다만 감염 PC의 국가별 분포와 국내 피해 여부는 공개하지 않았다.

2년간 이어진 깃허브 유포

보고서에 따르면 공격자들은 약 2년 전부터 깃허브를 악성코드 유포에 활용해 왔으며, 처음에는 블록체인 게임과 게임 자동화 봇, 치트 프로그램을 매개로 삼았다. 이후에는 네트워크 분석·모의 침투 도구로 위장해 보안 전문가를 겨냥하는 쪽으로 대상을 넓혔다.