최근 위협 행위자가 합법적인 소프트웨어 및 보안 프로젝트를 사칭한 수백 개의 가짜 GitHub 저장소를 만들어 정보 탈취형 악성코드를 유포한 사실이 밝혀졌다. 이 캠페인은 보안 제품, 암호화폐 서비스, 금융 도구, 개발자 유틸리티, 보안 이메일, macOS 유틸리티, 게임 소프트웨어 등 다양한 검색 결과에서 트래픽을 유도했다. 악성코드는 19개 이상의 웹 브라우저, 32개 암호화폐 지갑, 메신저 및 소셜미디어 앱에서 민감 정보를 수집한다.
ArcticWolf는 6월 26일부터 자사 제품이 사칭된 것을 발견하고 조사를 시작해 총 292개의 가짜 저장소를 확인했다. 각 저장소에는 신뢰를 유도하는 문구와 배지, 그리고 악성 다운로드 페이지로 연결되는 링크가 포함되어 있었다. 악성 페이지는 일정 주기로 이름과 페이로드가 변경되는 대형 ZIP 파일을 제공하며, 실행 시 합법적인 WinGUP 업데이트 프로그램을 통해 트로이 목마화된 libcurl.dll을 사이드로딩하여 메모리 내에서 정보 탈취를 수행한다.
이 악성코드는 BoryptGrab 계열로 추정되며, Chrome의 App-Bound Encryption을 우회하는 새로운 기능도 확인됐다. 탈취된 데이터는 러시아 기반 C2 서버로 전송되며, 악성코드는 지속성을 남기지 않고 단일 실행으로 최대한 많은 정보를 수집한다. GitHub는 상당수 저장소를 삭제했으나 일부 리디렉터는 여전히 남아 있으며, ArcticWolf는 사용자가 비공식 GitHub 페이지에서 무료 소프트웨어를 다운로드할 때 각별한 주의를 당부했다.
※ 이 글은 생성형 AI(gpt4.1)에 의해 요약되었습니다.