[보안뉴스] Transparent Tribe, C2로 비공개 GitHub 저장소 활용하는 신종 Rust 백도어 유포
· 2026-09-18 16:00
· 조회 18
· 원문 ↗
파키스탄 연계 해킹 그룹인 '트랜스패런트 트라이브(Transparent Tribe, APT36 또는 Earth Karkaddan으로도 알려짐)'가 새로운 Rust 기반 악성코드를 활용해 고도화된 사이버 공격을 감행하고 있다는 사실이 보안 전문 기업 Zscaler ThreatLabz를 통해 밝혀졌습니다. 이번 공격 캠페인에서 공격자들은 기존에 알려지지 않았던 RUSTYSHADE, RUSTYMOVE, PSNATCH, BASHNATCH 등의 악성 도구 세트를 배포했습니다. 특히 탐지를 회피하고 명령을 전달받기 위해 비공개 GitHub 리포지토리를 C2(명령 및 제어) 서버로 악용하는 신종 수법을 도입한 것이 주요 특징입니다.
이번 공격의 주요 영향 범위는 인도와 아프가니스탄의 정부 기관 및 국방·방산 분야 주요 조직에 집중되어 있습니다. 공격자들은 메모리 안전성과 크로스 플랫폼을 지원하는 Rust 언어로 악성코드를 작성해 기존 보안 솔루션의 탐지를 우회하기 쉽게 만들었습니다. 또한, 개발자들이 널리 사용하는 정상 서비스인 GitHub을 통신 채널로 활용함으로써 네트워크 모니터링 시스템의 의심을 사지 않고 기밀 데이터를 탈취하거나 추가 명령을 실행할 수 있어 해당 국가 및 관련 기관에 심각한 보안 위협을 가하고 있습니다.
이러한 위협에 대응하기 위해서는 보안 관리자가 조직 내에서 외부 GitHub API 및 비공개 리포지토리로 연결되는 아웃바운드 트래픽에 대해 비정상적인 패턴이 없는지 집중 모니터링해야 합니다. 이와 함께 Rust 기반 신종 백도어 및 탈취 도구를 탐지할 수 있도록 EDR(엔드포인트 탐지 및 대응) 및 백신 시그니처를 최신 상태로 유지해야 합니다. 마지막으로 주요 정부 및 방산 기관 임직원을 대상으로 사회공학적 피싱 공격에 대비한 보안 교육을 강화하고 의심스러운 첨부파일 실행을 철저히 차단하는 예방 조치가 시급합니다.
최근 악성코드 개발에 Rust가 자주 활용되는 가운데, 사설 GitHub 리포지토리를 C2 서버로 악용하여 정상 API 트래픽으로 위장하는 기법이 눈에 띕니다. 이는 개발 환경이나 서버 아웃바운드 정책에서
github.com같은 신뢰받는 도메인을 예외(Allowlist) 처리하는 허점을 정확히 노린 공격입니다. 아키텍처 관점에서는 아무리 합법적인 SaaS 도메인이라도 무조건적인 신뢰를 거두고, 비정상적인 API 호출 빈도를 감지하는 Egress 트래픽 모니터링과 행위 기반 검증을 강화해야 합니다.C2 통신에 정상 서비스인 GitHub의 프라이빗 레포지토리를 활용한 점은 일반적인 네트워크 모니터링 및 방화벽 정책을 손쉽게 우회하는 강력한 공격 기법입니다. 여기에 정적 분석과 AV 탐지를 회피하기 유용한 Rust 언어 기반 툴셋을 결합하여 은독성과 공격 성공률을 극대화했습니다. 레드팀 관점에서도 타깃 환경의 기존 인프라 신뢰성을 악용하고 탐지 난이도를 대폭 높인 매우 효과적인 공격 벡터입니다.
합법적인 플랫폼(GitHub)을 C2 서버로 악용하고 Rust 기반 신종 악성코드를 사용하는 방식은 기존 정적 탐지 체계를 유연하게 회피하려는 고도화된 위협입니다. 이는 개발 환경 및 외부 SaaS 도구가 조직의 새로운 보안 사각지대가 될 수 있음을 의미하므로, 공급망 및 개발 자산에 대한 보안 거버넌스 재정비가 시급합니다. 행위 기반 탐지(EDR) 역량을 강화하고 개발 플랫폼과 연계된 아웃바운드 트래픽에 대해 제로 트러스트 통제 정책을 즉시 적용해야 합니다.