보안 전문가를 노리는 악성 깃허브 저장소 캠페인이 약 2년째 이어지고 있다고 백신 업체 닥터웹이 밝혔다. 지금까지 윈도 시스템 2,000대 이상이 감염된 것으로 확인됐다.
이 캠페인은 처음에는 암호화폐 지갑 사용자를 노렸다. 블록체인 게임, 봇, 치트 도구 등을 미끼로 썼고, 이후 스캔 자동화, 보안 테스트, 로그 분석 도구처럼 보안 담당자가 찾을 만한 프로젝트로 위장하는 쪽으로 바뀌었다. 한 예는 네트워크 스캐너 Fscan의 출력을 정리해 주는 가벼운 스크립트로 꾸민 저장소다.
악성 코드는 비주얼 스튜디오 프로젝트 파일, 파이썬 스크립트, 고 소스 코드에 숨겨져 있었고 긴 공백 뒤에 가려진 경우도 있었다. 일부 비주얼 스튜디오 프로젝트는 빌드 전 이벤트로 컴파일 전에 악성 코드를 실행한다.
감염 과정에서는 파워셸이 암호화된 다운로드 링크를 받아 일렉트론 기반 모듈형 로더 'Microsoft.exe'를 내려받는다. 로더는 지속성을 확보하고 권한을 높인 뒤 윈도 보안·복구 기능을 끄고 다음 단계를 정상 프로세스에 주입한다. 기본 모드는 explorer.exe 부모 프로세스 위장, 스마트 앱 컨트롤 비활성화, ntdll.dll 복원, 직접 시스템 호출 등 여섯 가지 회피 기법을 쓴다.