가짜 GitHub 보안 프로젝트로 Windows PC 2천 대 이상 감염…일부는 빌드 전 코드 실행

Dr.Web 보안 연구진은 2026년 11월 5일 공개한 조사에서 가짜 GitHub 보안 프로젝트를 통해 조사 당시 2천 대가 넘는 Windows PC가 감염됐다고 보고했습니다. 약 2년 전 암호화폐 지갑 이용자를 겨냥했던 캠페인이 최근에는 스캔 자동화와 보안 테스트, 로그 분석 도구를 내세워 정보보안 실무자에게 접근했다고 설명했습니다.

저장소에는 정상 도구처럼 보이는 프로젝트나 스크립트가 올라와 있었습니다. 한 사례는 네트워크 스캐너 Fscan의 결과를 파싱하고 정리하는 경량 도구로 광고됐습니다. Dr.Web이 조사한 파일에는 악성 코드가 섞여 있었습니다. Visual Studio 프로젝트의 .csproj 파일에서 발견된 PreBuildEvent는 컴파일 전에 코드를 실행하며, .suo 파일에서는 PowerShell 명령이 발견됐습니다. Python과 Go 소스 파일에는 긴 공백 뒤에 악성 코드가 숨겨져 있었습니다.

프로젝트 파일을 내려받아 빌드하는 과정도 감염 경로가 됩니다. 감염된 .csproj 파일을 Visual Studio에서 빌드하면 PreBuildEvent가 컴파일 전에 코드를 실행합니다. Dr.Web은 과거 공격자가 Visual Studio 설치와 저장소 복제 방법까지 안내해 기술 배경이 적은 이용자도 프로젝트를 실행하도록 유도했다고 전했습니다.

감염된 파일이 실행되면 PowerShell 스크립트가 원격 호스트에서 암호화된 문자열을 가져옵니다. 문자열을 풀면 Quixo.7z 압축 파일의 다운로드 링크가 나오며, 이 파일은 공격자 서버나 GitHub에서 내려받습니다. 압축을 풀면 Electron으로 만든 Microsoft.exe가 실행됩니다. 이 로더는 추가 암호화 페이로드와 설정이 든 Nexara.7z를 내려받고, 감염된 PC에서 자동으로 다시 실행되도록 설정하며 권한 상승을 시도합니다. Windows Defender와 사용자 계정 컨트롤, 시스템 복원, 볼륨 섀도 복사본을 끄는 동작도 합니다.

Dr.Web은 로더의 기본 동작 모드인 Mode3에서 여러 탐지 회피 기법을 확인했습니다. 여기에는 Smart App Control 설정 변경, 보안 제품이 ntdll.dll에 추가한 후킹 제거, Windows 시스템 호출을 직접 실행하는 방법이 포함됩니다. 로더는 또 프로세스 메모리의 EtwEventWrite와 AmsiScanBuffer를 패치해 ETW 이벤트 기록과 스크립트 검사를 방해합니다. Dr.Web은 Mode3에서 악성 모듈을 배포하지 못할 때 쓰는 Mode2도 소개했습니다. 이 모드는 Windows Defender 예외를 추가하고, PowerShell 스크립트로 암호화된 페이로드를 풀어 RegAsm.exe에 주입합니다.

최종 페이로드 가운데 AsyncRAT은 공격자가 감염된 PC에 원격으로 접근하게 합니다. 클리퍼는 클립보드에 복사된 암호화폐 지갑 주소를 공격자 주소로 바꿉니다. Dr.Web에 따르면 주소를 교체하는 과정에서 화면을 캡처하고 활성 창 제목, 사용자 로그인 정보, IP 주소도 Telegram 봇으로 보냅니다. 정보탈취 악성코드는 브라우저 자료와 VPN 설정, FileZilla·MobaXterm·Total Commander의 설정 파일, 게임 계정 정보와 Discord 토큰 등을 모읍니다. 훔친 자료는 압축한 뒤 Telegram 봇을 통해 공격자에게 전송됩니다.