[해외보안뉴스] GhostAction 공격자, 94개 GitHub 저장소에 폰트로 위장한 계정 정보 탈취 악성코드 유포
· 2026-10-19 14:00
· 조회 13
· 원문 ↗
공급망 공격을 수행하는 'GhostAction' 위협 피싱 그룹이 오픈소스 개발자를 겨냥해 공격 방식을 더욱 정교하게 진화시키고 있습니다. 이들은 침해된 프로젝트의 GitHub Actions 워크플로우에 악성 코드를 주입하는 기존 수법에 더해, 가짜 폰트 파일 형태 속에 계정 정보 탈취(Credential Stealer) 악성코드를 숨겨 유포하는 방식을 도입했습니다. 이번 공격은 최소 94개의 GitHub 저장소(Repository)에 걸쳐 실행된 것으로 확인되었습니다.
공격자들은 보안 탐지를 우회하고 개발자들을 속이기 위해 정상적인 글꼴 파일인 것처럼 위장된 악성 바이너리를 배치했습니다. 개발자가 해당 리소스를 다운로드하고 실행하면, 개발자 환경 내에 저장된 자격 증명, 액세스 토큰, SSH 키 등 민감한 정보가 외부로 유출됩니다. 이는 단순한 단일 시스템 침해를 넘어 해당 개발자가 관리하는 오픈소스 프로젝트 전체의 공급망 오염으로 이어질 수 있어 영향 범위가 매우 넓습니다.
이러한 공급망 위협에 대응하기 위해 GitHub 저장소 관리자와 개발자는 프로젝트 내 GitHub Actions 워크플로우 파이프라인 및 종속성 파일을 긴급히 전수 점검해야 합니다. 소스 코드 외에 프로젝트에 포함된 미검증 바이너리나 글꼴 등 기타 리소스 파일의 출처를 철저히 검증하고, 유출 의심 시 관련 API 토큰과 자격 증명을 즉시 폐기 및 재발급해야 합니다. 또한 CI/CD 파이프라인 내 파티클 모니터링을 강화하여 비정상적인 커밋 및 스크립트 실행을 실시간으로 감지해야 합니다.
단순 파이프라인 워크플로우 감시를 넘어 폰트 같은 정적 에셋 파일까지 검증해야 하는 시대가 됐네요. CI/CD 환경에서 파이프라인 시크릿 권한(Least Privilege)을 철저히 분리하고, 빌드 타임에 외부 자산의 무결성(Checksum)을 자동 검증하는 라우틴을 강제해야 합니다. 이제는 소스 코드뿐만 아니라 프로젝트 내 모든 정적 아티팩트를 신뢰하지 않는 'Zero Trust' 관점의 빌드 아키텍처 도입이 시급해 보입니다.
개발 환경을 겨냥한 공급망 공격이 단순 CI/CD 파이프라인 오염을 넘어, 폰트 파일로 위장한 악성코드로 개발자 단말을 직접 노리는 방식으로 고도화되었습니다. 미디어 자산으로 위장해 보안 솔루션의 경계심을 허물고 핵심 자격 증명(Credential)을 탈취하는 전략은 공격 성공률이 매우 높은 위협적인 공격 벡터입니다. CI/CD 파이프라인 무결성 검증뿐만 아니라 개발자 워크스테이션 환경에서의 비정상 파일 실행 권한 통제 체계를 조속히 점검해야 합니다.
이번 사건은 오픈소스 공급망 공격이 단순 코드 주입을 넘어 폰트 파일 위장 등 개발자의 신뢰를 악용하는 정교한 방식으로 진화하고 있음을 보여줍니다.
조직은 개발 환경을 핵심 보호 자산으로 인식하고, CI/CD 파이프라인 보안 통제와 함께 개발자 단말(EDR)의 비인가 파일 검증 정책을 즉시 강화해야 합니다.
아울러 외부 리소스 수용 시 제로 트러스트 관점의 거버넌스를 정립하여 잠재적인 공급망 리스크를 선제적으로 통제하겠습니다.