소개
요즘은 채용 과제, 오픈소스 라이브러리, npm 패키지처럼 “당연히 실행해 보는” 코드가 곧 공격 경로가 됩니다. 이 글은 겉보기엔 멀쩡히 돌아가는 프로젝트가 국기 이미지 뒤에 악성코드를 숨긴 채 배포됐고, 정적 분석과 백신을 모두 우회한 사례를 이야기합니다. 남이 준 코드를 로컬에서 npm run dev 한 번 돌리는 순간 사내 자격 증명·SSH 키·크립토 지갑까지 유출되고 그게 조직 전체를 겨냥한 공급망 공격의 첫 발판이 되는데요. 누구든 낯선 코드를 실행하기 전 한 번 더 의심하는 습관이 필요하게 된 시대인 것 같습니다. 🤨
팀원들의 의견
이 글을 보면 결국 외주나 프리랜서 개발자를 구한다는 미끼로 사람을 모아서 코딩 테스트 형태로 악성코드를 심는 패턴인데요. 혹시 비슷한 채용 사칭이나 미심쩍은 외주 제안을 받아보신 경험이나, 관련해서 들어보신 사례가 있으신가요? 없으시다면 앞으로 이런 식의 제안을 받았을 때 어떤 부분을 유심히 보면 좋을지도 같이 얘기해보고 싶어요. 사실 기업의 채용 테스트를 진행할때도 충분히 문제가 될 수 있는 패턴인 것 같아서요!
💬. 의견 1
오.. 요즘 이런 식의 공격 패턴이 있군요.
직접 겪어본 적은 없지만, 링크드인 같은 검증된 플랫폼을 통해 온 제안인지 파악하고 출처가 불분명하다면 일단 실행 안 해 보는 습관이 필요할 것 같아요. AI가 발전하면서 공격 수법도 다양해진 것 같아 걱정입니다. 😭
💬. 의견 2
개인 간의 파일 공유 시에 악성코드 정적 분석 과정이 필수로 필요해지는 시점이 오는 것인가 하는 생각이 드는군요. 😒 외부 파일이 내부로 들어오더라도 네트워크 레벨에서 차단을 해준다면 1차적인 방어는 가능하지 않않을까 합니다
목차
핵심 요약
Elastic이 이 악성코드 캠페인을 발견한 경위
실행 경로
DPRK 배후 추정 근거, Contagious Interview와의 연관성
OTTERCOOKIE와 BEAVERTAIL이 보안 리서치에서 겹치는 이유
악성코드 분석
obfuscator.io가 악성코드를 숨기는 방식
브라우저 자격 증명 및 크립토 지갑 탈취기 모듈의 동작 방식
이 악성코드가 개발자 머신에서 훔치는 파일
Socket.IO 기반 RAT
클립보드 탈취기와 윈도우 페이로드 드로퍼
결론
Contagious Interview 악성코드의 MITRE ATT&CK 전술 및 기법
전술
기법
Contagious Interview 악성코드 캠페인 탐지 및 예방 방법
탐지 및 예방 규칙
관측값
참고 자료
부록: 표적이 된 크립토 지갑 확장 프로그램 ID