정상적인 개발 프로젝트로 위장한 깃허브 저장소

안랩이 확인한 깃허브 계정은 정상 사용자의 마지막 활동이 2025년 4월로 추정된다. 이후 2026년 5월부터 악성코드 유포에 악용된 것으로 보이며, 2026년 11월 3일까지도 저장소 업데이트가 이어졌다.

공격자는 해당 계정이 보유한 기존 프로젝트에 악성코드를 삽입했다. 감염된 저장소 대부분은 React 및 Vite 기반의 개발 과제 형태였으며, 개발자 프로필과 포트폴리오를 소개하는 형태도 확인됐다. 이는 정상적인 프로젝트 구성과 기존 활동 이력을 활용해 개발자의 신뢰를 얻고, 악성코드가 추가됐다는 사실을 알아차리기 어렵게 하려는 의도로 추정된다.

[그림 1] 탈취된 것으로 추정되는 깃허브 계정

[그림 2] 깃허브 계정의 커밋 내역

이 과정에서 여러 파일이 추가되거나 변경됐으며, 이 가운데 ‘.vscode/tasks.json’, ‘package.json’, ‘vite.config.js’가 악성 페이로드 실행에 사용됐다.

[그림 3] 악성코드가 삽입된 저장소

프로젝트 실행 과정에 숨겨진 악성코드