글로벌 보안 기업 카스퍼스키(Kaspersky)가 오픈 소스 저장소에서 다단계 멀웨어(Multi-staged Malware) ‘GitVenom(깃베놈)’을 발견했다고 밝혔다. 카스퍼스키 글로벌 연구 및 분석팀(GReAT)에 따르면, 이 악성코드는 게이머와 암호화폐 투자자를 표적으로 삼아 개인 및 금융 데이터를 탈취하는 데 사용된다.
GitVenom은 GitHub에 존재하는 수백 개의 악성 저장소를 통해 유포되었다. 해당 프로젝트에는 인스타그램 자동화 도구, 비트코인(BTC) 지갑 원격 관리용 텔레그램(Telegram) 봇, 게임 ‘발로란트(Valorant)’의 크랙(crack) 도구 등이 포함되어 있었지만, 모두 가짜(fake)였다. 피해자가 해당 저장소의 코드를 실행하면 악성코드가 피해자의 시스템을 감염시키고, 공격자는 이를 원격으로 제어할 수 있게 된다.
 |
||
| ▲ 탈취자가 공격자에게 보내는 아카이브의 구조 | ||
카스퍼스키의 조사에 따르면, GitVenom 공격자들은 클립보드(Clipboard) 하이재킹 방식으로 암호화폐 지갑 주소를 가로채 비트코인 5개(조사 당시 약 48만 5천 달러 상당)를 탈취하는 데 성공했다. 감염 사례는 전 세계적으로 보고되었으며, 특히 브라질, 터키, 러시아에서 집중적으로 발생했다.
이 악성코드는 다양한 프로그래밍 언어로 개발되었으며, 파이썬, 자바스크립트, C, C++, C# 등 여러 언어에서 발견되었다. 감염된 프로젝트는 공격자가 제어하는 GitHub 리포지토리에서 악성 구성 요소를 다운로드 및 실행하는 공통적인 방식을 따랐다. 이를 통해 비밀번호, 은행 계좌 정보, 저장된 자격 증명, 암호화폐 지갑 데이터 및 검색 기록을 수집한 후, 이를 .7z 아카이브 파일로 압축하여 텔레그램을 통해 공격자에게 전송하는 스틸러(Stealer) 기능을 수행했다.
또한, 원격 제어 도구(Remote Administration Tool)를 포함하여 피해자의 장치를 실시간으로 감시하고 제어할 수 있는 기능도 갖추고 있었다. 특히, 클립보드 하이재커(Clipboard Hijacker) 기능을 활용해 피해자가 암호화폐 지갑 주소를 복사할 때, 공격자가 제어하는 지갑 주소로 자동 변경되도록 설정했다. 카스퍼스키는 공격자의 비트코인 지갑에서 2024년 11월 기준으로 약 5 BTC가 들어온 것을 확인했다.
카스퍼스키 한국지사장 이효은은 “GitVenom 캠페인은 사이버 범죄자들이 신뢰받는 코드 공유 플랫폼을 악용하여 점점 더 정교한 다단계 악성코드를 배포하고 있음을 보여준다”며 “개발자와 게이머, 암호화폐 투자자들은 악성 저장소를 합법적인 프로젝트로 착각하지 않도록 주의해야 한다”고 강조했다. 이어 “오픈 소스 생태계조차도 사이버 위협으로부터 안전하지 않다는 점을 다시 한번 상기시키며, 조직과 개인 모두 서드파티(Third-party) 코드 실행 전에 반드시 철저한 검증을 거쳐야 한다”고 덧붙였다.
카스퍼스키 GReAT 소속 보안 연구원 게오르기 쿠체린(Georgy Kucherin) 또한 “GitHub과 같은 코드 공유 플랫폼은 전 세계 수백만 명의 개발자가 사용하기 때문에, 앞으로도 사이버 범죄자들이 가짜 소프트웨어를 악용할 가능성이 크다”며 “서드파티 코드를 실행하거나 기존 프로젝트에 통합하기 전, 반드시 코드의 동작을 철저히 분석하여 악성코드를 예방해야 한다”고 경고했다.
카스퍼스키는 이번 GitVenom 캠페인을 통해 오픈 소스 환경에서도 보안 위협이 지속적으로 증가하고 있음을 강조하며, 보안 인식 강화 및 위협 정보 공유의 중요성을 다시 한번 상기시켰다.
이준문 기자 jun@newstap.co.kr
