- 사이버 보안 기업 Koi Security가 VS Code 확장 프로그램에 보이지 않는 유니코드 코드로 악성코드를 숨기는 GlassWorm 캠페인의 새로운 파동을 발견했습니다.
- 이 악성코드는 GitHub, Open VSX 및 암호화폐 지갑 자격 증명을 탈취하여 개발자 기기를 프록시 인프라로 전환하고 공급망을 통해 확산됩니다.
- GlassWorm은 솔라나 블록체인을 명령 및 제어 시스템으로 사용하여 운영을 분산화하고 복원력을 높이며 거의 중단할 수 없게 만듭니다.
개발자들은 Visual Studio Code(VS Code) 확장 프로그램에서 잠에서 깨어난 악성 코드를 처리해야 하며, 이는 GitHub, Open VSX 및 암호화폐 지갑의 자격 증명을 훔쳐 수천 명의 사용자를 침해한 것으로 추정됩니다.
지난 달 말 사이버 보안 기업 Koi Security에 의해 처음 식별된 'Operation GlassWorm'은 Open VSX 레지스트리와 Microsoft의 Visual Studio 마켓플레이스를 통해 배포된 VS Code 확장 프로그램을 해킹한 그룹에 의해 생성되었습니다. 악의적 행위자들은 정직해 보이는 개발 도구 내에 보이지 않는 악성 코드를 삽입한 것으로 보고되었습니다.
Koi 보안 연구원들은 이 캠페인이 주로 공급망 침해와 금전적 절도를 가능하게 하기 위해 NPM 토큰, GitHub 로그인 및 Git 자격 증명과 같은 개발자 자격 증명을 수집하는 것이라고 말합니다.
Koi의 분석에 따르면, 동일한 악성 코드는 또한 49개의 서로 다른 암호화폐 지갑 확장 프로그램을 표적으로 삼아 사용자 자금을 인출하고 민감한 데이터를 원격 서버로 유출했습니다.
GlassWorm은 개발자 기기를 범죄자의 도우미로 전환합니다
Koi의 팀 블로그 게시에 따르면, 악성 확장 프로그램은 SOCKS 프록시 서버를 배포하고 침해된 개발자 시스템을 사용하여 범죄 프록시 네트워크를 구축합니다. 병렬로, 그들은 눈에 띄는 징후 없이 공격자가 피해자 기기에 완전히 원격 접근할 수 있도록 숨겨진 VNC 서버를 설치합니다.
절도당한 GitHub 및 NPM 자격 증명은 운영자가 추가 저장소 및 패키지를 감염시키는 데 도움이 되며, GlassWorm이 소프트웨어 공급망 깊숙이 확산될 수 있게 합니다.
Open VSX는 10월 21일 캠페인과 관련된 모든 알려진 악성 확장 프로그램을 식별하고 제거했으며, 침해된 토큰의 회수와 갱신을 확인했습니다.
그러나 Koi Security의 새로운 보고서는 GlassWorm이 감지 시스템을 우회하기 위해 더 진보된 유니코드 기반 난독화 형태를 사용하여 다시 등장했다고 나타냅니다.
회사에 따르면, 7개의 확장 프로그램이 10월 17일에 다시 침해되어 합계 35,800회의 다운로드를 기록했습니다. Koi의 텔레메트리는 또한 현재 10개의 감염된 확장 프로그램이 활성 상태이며 공개적으로 사용 가능하고, 작성 시점 기준으로 악성 코드를 배포하고 있음을 보여줍니다.
“공격자의 명령 및 제어 인프라는 완전히 운영 중입니다. 페이로드 서버는 여전히 응답하고 있으며, 절도된 자격 증명이 새로운 패키지를 침해하는 데 사용되고 있습니다.”
CodeJoy 악성 코드는 무적이다, Koi Security가 반박
Koi의 위험 분석 엔진은 버전 1.8.3 이후 “비정상적인 행동 변화”를 보인 Open VSX 확장 프로그램인 CodeJoy를 플래그했습니다. CodeJoy는 수백 번의 다운로드, 깨끗한 코드베이스 및 정기적인 업데이트를 갖춘 정직한 개발자 생산성 도구처럼 보입니다.
“우리가 소스 코드를 열었을 때, 두 번째 줄과 일곱 번째 줄 사이에 거대한 간격이 있음을 발견했습니다.”라고 Koi 연구원들은 말했습니다. “그것은 빈 공간이 아니라, 코드 편집기에서 렌더링되지 않는 인쇄 불가능한 유니코드 문자로 인코딩된 악성 코드입니다.”
공격자는 인간의 눈에는 보이지 않도록 하는 무적 유니코드 변형 선택자를 사용했습니다. 정적 분석 도구와 수동 코드 검토에서는 이상한 점을 발견하지 못했지만, JavaScript 인터프리터는 숨겨진 명령을 완벽하게 실행했습니다.
디코딩하면 보이지 않는 문자들이 2단계 페이로드 메커니즘을 드러냈는데, 이는 Koi 연구원들이 Solana 블록체인을 명령 및 제어(C2) 인프라로 사용하는 것을 발견했습니다.
“공격자는 불변적이고, 분산되며, 검열에 저항하는 공개 블록체인을 C2 채널로 사용하고 있습니다.”라고 Koi는 설명했습니다.
악성 코드는 하드코딩된 지갑 주소로부터의 트랜잭션을 위해 Solana 네트워크를 스캔합니다. 하나를 찾으면, 트랜잭션에 임의의 텍스트를 첨부할 수 있는 메모 필드를 읽습니다. 그 메모 필드 안에 다음 단계 페이로드를 다운로드하기 위한 base64 인코딩 링크가 포함된 JSON 객체가 있습니다.
10월 15일의 Solana 트랜잭션은 Koi의 분석에서 악성 코드의 다음 단계를 다운로드하기 위한 활성 위치를 호스팅하는 URL로 디코딩된 데이터를 표시했습니다.
공격자는 센트 단위의 비용으로 새로운 Solana 트랜잭션을 게시하여 페이로드를 회전시킬 수 있으며, 이는 새로운 지시를 위해 블록체인을 쿼리하는 모든 감염된 확장 프로그램을 업데이트합니다.
Koi에 따르면, 방어자가 하나의 페이로드 URL을 차단하더라도, 공격자는 그 URL을 차단하는 데 걸리는 시간보다 빠르게 다른 트랜잭션을 발행할 수 있습니다.
“무한한 두더지가 있는 와크어모아 게임을 하는 것과 같습니다.”라고 Koi 연구원은 지적했습니다.
Koi Security의 Idan Dardikman, Yuval Ronen, Lotan Sery 구성원들은 위협 행위자가 이번 주까지도 새로운 명령 엔드포인트를 포함한 최신 Solana 트랜잭션을 게시했음을 확인했습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
