악성 PoC가 노린 취약점 연구자…세코이아, 파이썬 RAT 캠페인 분석

세코이아와 예스위해크가 공개한 공동 분석에 따르면, 공격자는 신규 CVE 대응에 나선 취약점 연구자와 모의침투 담당자를 겨냥해 악성 의존성을 심은 PoC(개념증명) 저장소를 유포했다. 두 기관은 이 경로가 2025년 말부터 악성 PoC에 쓰였고, 관련 악성코드와 명령·제어 기반시설은 아직 활성 상태라고 밝혔다.

분석 대상은 공격자가 ‘frint’와 ‘skytext’라는 파이썬 패키지를 의존성으로 추가한 가짜 CVE PoC 저장소다. 보고서는 최소 7개의 가짜 저장소에서 같은 수법을 확인했다고 설명했다. 사용자가 requirements.txt를 통해 패키지를 설치하고 PoC를 실행하면, 컴파일된 확장 모듈이 로드되며 다음 단계의 악성 코드를 가져오는 구조다.

두 기관은 최종 단계 악성코드를 ‘ChocoPoC’로 명명했다. 이 파이썬 원격접속트로이목마(RAT)는 파일 유출, 명령 실행, 비밀정보 수집 기능을 갖춘 것으로 분석됐다. 악성 확장 모듈은 디버거 탐지와 난독화, 특정 PoC 실행 환경에서만 동작하도록 하는 조건을 사용해 일반 분석 환경에서의 노출을 줄이려 했다.

특히 이 캠페인은 새 취약점 공개 직후 탐지 모듈이나 검증 코드를 빠르게 만들어야 하는 보안 실무의 시간 압박을 겨냥했다. 공개 PoC를 참조할 때 저장소 작성 이력과 의존 패키지, 바이너리 확장 모듈을 함께 확인하고, 실행은 격리된 환경에서 해야 한다는 경고다.

보고서에 따르면 감염 뒤에는 파이썬 site-packages 영역에 변조된 파일과 .pth 파일을 남겨 이후 파이썬 실행에서도 악성 코드가 이어지도록 시도한다. 이후 Mapbox API를 위장한 경로에서 후속 명령을 받아오는 방식도 사용됐다.

출처: Sekoia·YesWeHack 공동 분석 https://www.sekoia.com/blog/dont-eat-the-chocopocs-how-vulnerability-researchers-were-repeatedly-targeted-by-trojanised-exploits