개발자 채용 과정 악용 사회공학 기법으로 개발 생태계 감염시켜
개발자의 사소한 보안 위반 습관 악용해 연쇄적 감염 일으켜
[데이터넷] 북한 연계 공격그룹 ‘보이드 도깨비(Void Dokkaebi, 일명 페이머스 천리마)’가 개발자 채용 과정을 악용한 사회공학 기법으로 소프트웨어 공급망을 침투하는 정교한 공격 캠페인을 전개하고 있는 것으로 나타났다. 이 공격은 소수 개발자 감염 이후 코드 저장소와 개발 워크플로우를 매개로 점진적으로 확산되는 구조.
트렌드마이크로 분석에 따르면, 공격자는 암호화폐 및 AI 기업 채용 담당자를 사칭해 접근한 뒤 기술 과제를 빙자해 악성 코드가 포함된 저장소를 실행하도록 유도한다. 해당 저장소는 깃허브, 깃랩, 비트버킷 등에서 정상 프로젝트처럼 위장돼 있으며, 특히 비주얼 스튜디오 코드(VS Code)의 설정 파일(.vscode)에 악성 구성이 포함돼 있는 것이 핵심이다.
보이드 도깨비가 사용한 두 가지 감염 경로
개발자 생태계 전반에 영향 미쳐
트렌드마이크로가 2026년 3월 말 기준으로 공개 코드 저장소를 스캔한 결과, 이번 캠페인의 오염 범위는 단일 악성코드 유포 수준을 넘어선 ‘생태계형 확산’ 양상을 보였다. 구체적으로 자바스크립트 로더가 포함된 저장소는 750개 이상 확인됐으며, 이들 다수는 global['l'] 초기화 마커를 공통적으로 포함하고 있었다. 또한 악성 VS코드 작업(Task) 설정이 포함된 사례는 523건으로 집계됐는데, 이 가운데 392건은 추가 악성코드를 내려받는 다운로더, 131건은 정상 파일로 위장한 실행기 형태였다.
이와 함께 원격 접근 정황이 드러나는 커밋 변조 도구(temp_auto_push.bat)가 포함된 저장소도 101개 확인됐으며, 별도 클러스터로 분류되는 변형 로더(global['_v'] 마커 포함) 역시 60건 이상 발견됐다. 이는 공격자가 단일 기법이 아닌 다양한 도구와 변종을 조합해 공격을 확장하고 있음을 보여준다.
개발자 신뢰 기반 작업 흐름 악용
공격 방식은 개발자의 신뢰 기반 작업 흐름을 정교하게 파고든다. 피해자가 저장소를 실행하거나 개발 환경에서 작업을 수행하면 악성 코드가 로드되거나 추가 페이로드가 설치되고, 이후 해당 코드가 커밋·공유되는 과정에서 다른 개발자에게 전파될 가능성이 생긴다. 다만 이는 자동 전파형 악성코드처럼 독립적으로 확산되는 것이 아니라, 다른 사용자가 해당 저장소를 신뢰하고 실행하는 과정을 필요로 한다는 점에서 기존 웜과는 구별된다.
공격자는 개발자 PC를 직접 감염시키는 방식도 병행한다. 코드 리뷰 과정에서 탐지를 회피하기 위해 파일 말미에 대량의 공백을 삽입한 뒤 난독화된 자바스크립트를 숨기는 기법이 사용되며, 이는 일반적인 코드 검토로는 식별이 어렵다. 즉, 단순한 ‘보이지 않는 코드’ 수준이 아니라, 코드 리뷰 관행 자체의 허점을 악용하는 은닉 기술이 적용된 것이다.
이번 공격은 취약점이나 빌드 시스템 침해에 의존했던 기존 공급망 공격과는 본질적으로 다르다. 공격자는 별도의 소프트웨어 취약점을 이용하지 않고, 개발자들이 일상적으로 사용하는 도구와 설정, 협업 관행을 악용해 정상적인 개발 흐름 안에서 악성 코드를 실행시키는 전략을 취했다. 특히 .vscode 설정 공유, 외부 저장소 코드 실행, 커밋 검증 부족 등 개발 문화 전반의 ‘신뢰 관행’이 주요 공격 표면으로 작용한다는 점이 핵심이다.
모든 신뢰를 제거한 공급망 보안 인식 필요
이에 따라 대응 역시 기존의 취약점 중심 보안 모델로는 한계가 있다. 모든 외부 코드와 개발 환경 설정에 대해 기본적으로 신뢰하지 않는 검증 체계를 마련하고, 개발용 코드 실행 시 격리된 환경을 사용하는 것이 요구된다. 또한 저장소 내 설정 파일과 자동 실행 스크립트에 대한 점검을 강화하고, 채용 과제 등 외부로부터 전달된 코드의 실행을 엄격히 통제해야 한다.
트렌드마이크로는 이번 캠페인이 단 한 명의 개발자 감염을 출발점으로 조직 내부 코드베이스는 물론 오픈소스 생태계 전반으로 확산될 수 있다고 경고하며, 개발자 개인의 보안 인식과 조직 차원의 개발 프로세스 통제가 동시에 요구되는 새로운 유형의 공급망 위협이라고 강조했다.
Tag
댓글
0