[보안뉴스] 가짜 LastPass Authenticator GitHub 저장소에서 새로운 Rapuncel 인포스틸러 유포
· 2026-09-19 00:00
· 조회 27
· 원문 ↗
최근 유명 소프트웨어 기업을 사칭한 가짜 GitHub 저장소를 통해 신종 정보 탈취형 악성코드(Infostealer)인 'Rapuncel'이 유포되고 있는 정황이 포착되었습니다. 공격자들은 검색 엔진 최적화(SEO) 기법을 악용하여 사용자가 'LastPass Authenticator'와 같은 유명 보안 및 유틸리티 프로그램을 검색할 때 악성 GitHub 저장소가 상단에 노출되도록 유도하고 있습니다.
이 캠페인은 검색 엔진을 통해 직접 소프트웨어 설치 파일을 찾는 불특정 다수의 사용자와 기업 환경을 타깃으로 합니다. 피해자가 해당 GitHub 저장소에서 제공하는 가짜 설치 파일(EXE 등)을 다운로드해 실행할 경우, 시스템에 Rapuncel 악성코드가 즉시 설치됩니다. 감염된 기기에서는 웹 브라우저에 저장된 계정 정보, 암호화폐 지갑 데이터, 세션 쿠키, 시스템 자격 증명 등 광범위한 민감 정보가 탈취되어 공격자의 명령 제어(C2) 서버로 전송됩니다.
이러한 SEO 포이즈닝 및 오픈소스 플랫폼 악용 공격을 예방하기 위해서는 GitHub와 같은 코드 저장소에서 일반 상용 소프트웨어의 실행 파일을 직접 다운로드하는 행위를 지양해야 합니다. 소프트웨어는 반드시 검증된 공식 웹사이트나 공식 앱 스토어를 통해서만 설치해야 합니다. 또한, 조직 내 보안 담당자는 최신 백신 탐지 룰을 적용하고, 임직원들이 검색 엔진 결과의 악성 링크를 선별할 수 있도록 보안 인식 교육을 강화해야 합니다.
♥ 추천 0
GitHub의 높은 신뢰도와 SEO를 악용한 악성코드 유포가 갈수록 교묘해지고 있어 오픈소스 및 도구 활용 시 각별한 주의가 필요합니다. 단순 검색 결과나 저장소 이름만 믿지 말고, 커밋 히스토리와 공식 Organization 배지, GPG 서명 여부를 반드시 검증해야 합니다. 특히 Authenticator나 보안 관련 도구는 GitHub 직접 다운로드보다 공식 웹사이트나 검증된 패키지 매니저 경로만 허용하도록 팀 내 보안 가이드라인을 강화해야 합니다.
개발자들이 신뢰하는 GitHub 플랫폼과 SEO 포이즈닝을 결합한 최초 침투(Initial Access) 벡터는 기존 보안 솔루션의 경계망을 손쉽게 우회합니다. 특히 LastPass와 같은 2FA 인증 도구를 위장해 사용자의 MFA 자격 증명을 직접 겨냥했다는 점에서 후속 공격으로의 파급력이 매우 크습니다. Rapuncel 스틸러를 통해 탈취된 개발자 계정 및 세션 고유 정보는 향후 기업 내부망으로의 피벗팅(Pivoting)이나 공급망 공격의 결정적인 발판이 될 것입니다.
개발자들이 자주 이용하는 플랫폼과 검색 엔진(SEO)까지 악용하는 계정 유출형(Infostealer) 공격이 더욱 교묘해지고 있습니다.
조직 내 임직원이 임의로 보안 툴을 다운로드하는 '섀도우 IT(Shadow IT)' 리스크를 철저히 통제하고, 중앙에서 검증된 공식 배포 채널만 사용하도록 단말 관리 정책을 강화해야 합니다.
기술적 방어와 더불어, 신종 악성코드에 의한 인프라 침입을 사전에 차단할 수 있도록 엔드포인트(EDR) 모니터링과 계정 접근 권한 거버넌스를 즉시 재점검하겠습니다.