해커 표적 된 오픈소스 개발자…크라우드스트라이크·구글, 봇넷 폐쇄

크라우드스트라이크가 구글 손잡고 오픈소스 소프트웨어(SW) 개발자를 겨냥한 봇넷을 차단했다. 27일(현지시간) 테크크런치 등 외신에 따르면 크라우드스트라이크는 구글. 비영리 인터넷 보안 단체 섀도서버와 협력해 '글래스웜' 봇넷 차단 작전을 진행했다. 이 봇넷은 사이버범죄자들이 오픈소스 개발자 비밀번호를 훔치고 악성코드를 배포하는 데 사용된 것으로 확인됐다. 크라우드스트라이크는 글래스웜 배후 해커들이 지난 2년간 오픈소스 SW 공급망 전반을 겨냥했다고 발표했다. 최근 개발자와 오픈소스 프로젝트를 침해해 기업과 기관이 사용하는 SW 악성코드를 심는 공격이 이어졌다. 이 공격은 깃허브 같은 코드 저장 플랫폼과 개발자에 대한 신뢰를 악용했다. 개발자 한 명의 작업 환경이 침해되면 그 코드에 의존하는 수천 개 조직과 사용자에게 피해가 확산될 수 있기 때문이다. 글래스웜 해커들은 개발자용 마켓플레이스에 악성 확장 프로그램을 올리고 검색 광고를 악용해 피해자가 악성코드를 내려받게 했다. 이전 해킹에서 훔친 자격증명도 활용해 개발자 계정을 탈취하고 코드에 악성코드를 심기도 했다. 그 결과 해커들은 300개 넘는 깃허브 코드 저장소를 오염시켰다. 크라우드스트라이크는 이들이 사용한 명령제어 채널 4개를 차단해 감염된 컴퓨터 접근과 추가 악성코드 전달을 막았다고 밝혔다. 명령제어 서버는 솔라나 블록체인과 비트토렌트 P2P 네트워크, 구글 캘린더, 가상 사설 서버를 활용했다. 다만 크라우드스트라이크와 협력 기관들이 어떤 법적 또는 기술적 권한으로 차단 작전을 진행했는지는 공개되지 않았다. 이번 사례는 오픈소스 공급망 공격이 개발자 개인을 직접 겨냥하는 방식으로 진화하고 있음을 보여준다. 지난주에는 '미니 샤이-훌루드' 해킹 캠페인으로 여러 오픈소스 프로젝트가 침해됐고 오픈AI 개발자도 피해를 본 것으로 전해졌다. 크라우드스트라이크는 "공격자들은 더 이상 제품만을 표적으로 삼지 않는다"며 "그 제품을 만드는 개발자들을 겨냥하고 있다"고 경고했다. 이어 "개발자 한 명의 워크스테이션 침해는 수천 개 하위 조직과 사용자에게 영향을 미치는 공급망 침해로 이어질 수 있다"고 덧붙였다.