Git 저장소 악성코드, 채용 사칭으로 배포!
by DD
2개월 전
조회수 4
채용 사칭을 통해 악성 코드가 포함된 Git 저장소를 배포하는 공격이 발생함
Git hook을 악용하여 git checkout/commit 명령어 실행 시 악성 스크립트를 실행함
악성 스크립트는 Node.js 기반의 인포스틸러(Infostealer)를 설치하고 실행함
파일 시스템 탐색, 원격 제어, 클립보드 감시 등 다양한 기능을 수행하며 정보를 탈취함
Git Hook을 이용한 악성코드 주입
공격자는 Git hook(Git Hook) 기능을 악용하여 악성 코드를 주입했다. 특히, `post-checkout` hook을 사용하여 `git checkout` 또는 `git commit` 명령어가 실행될 때마다 악성 스크립트가 실행되도록 설정했다. 이 스크립트는 운영체제(OS)를 확인하고, OS에 맞는 페이로드를 다운로드하여 실행한다. 악성 Git 저장소(Malicious Git Repository)를 다운로드하는 순간부터 이미 시스템이 위험에 노출되는 것이다.
악성코드의 단계별 분석
악성코드는 크게 세 단계로 구성된다. 첫 번째 단계는 Git hook을 통해 실행되는 쉘 스크립트로, OS에 따라 적절한 페이로드를 다운로드한다. 두 번째 단계는 다운로드된 스크립트가 Node.js 환경을 설정하고, 악성 JavaScript 페이로드를 실행한다. 마지막 단계는 인포스틸러(Infostealer)로, 파일 시스템을 탐색하고, 원격 제어 기능을 수행하며, 클립보드 내용을 감시하여 정보를 탈취한다.
