[속보] GhostAction 탈취 서버에 GitHub 유사 도메인 연결...Git 이력 속 비밀키도 노려

보안 연구팀 OpenSourceMalware가 9일(현지 UTC 기준) 공개한 원문 분석에서 GitHub를 연상시키는 도메인과 GhostAction 공격 인프라의 연결을 확인했다. 연구팀에 따르면 my-github[.]com은 현재 정보 탈취에 사용되는 서버 IP 193.32.204[.]199로 연결된다.

GhostAction은 탈취한 개발자 계정의 접근 권한으로 저장소에 악성 GitHub Actions 워크플로를 추가하는 공급망 공격이다. 보안 점검을 뜻하는 파일명과 커밋 메시지로 위장한 뒤, 코드가 푸시되거나 워크플로가 수동 실행되면 인증정보를 공격자 서버로 전송한다. 정상 유지관리자의 이름으로 커밋이 남을 수 있어 작성자 표시만으로는 공격을 구별하기 어렵다.

OpenSourceMalware는 해당 도메인이 10월 9일 등록됐으며 와일드카드 DNS를 사용한다고 설명했다. 여러 하위 도메인을 별도 등록 없이 같은 서버로 연결할 수 있는 구성이다. 다만 도메인과 탈취 서버의 연결이 확인됐다는 사실이 실제 피싱 페이지 운영이나 토큰 탈취 수법까지 입증하는 것은 아니다. 연구팀은 이와 같은 활용 가능성을 관측된 공격과 구분했다.

같은 분석에 등장하는 my-gitlab[.]com도 별도로 살펴봐야 한다. gitlab.my-gitlab[.]com에서는 GitLab 서비스로 보이는 인프라가 관측됐지만, 서버 주소와 등록기관 등이 GitHub 유사 도메인과 다르다. OpenSourceMalware는 공통 운영자나 GhostAction과의 직접 연결이 입증되지 않았으며 악성 도메인으로 확정할 수 없다고 명시했다.

최근 워크플로 공격 자체는 Socket과 StepSecurity의 원문 분석에서도 확인된다. 두 보안업체는 10월 8일 두 유지관리자 계정의 권한을 통해 수백 개 저장소에 악성 워크플로가 삽입됐다고 보고했다. 대상에는 게임 엔진 Pyxel과 uber/athenadriver가 포함됐다. StepSecurity는 후자의 실행 로그에서 공격 서버가 전송을 수신한 응답을 확인했다고 밝혔다.

새 변종은 저장소의 GitHub Actions 비밀값 수집에 더해 현재 소스 코드와 Git 커밋 이력을 검색한다. Socket과 StepSecurity가 분석한 Pyxel의 악성 워크플로에는 전체 이력을 가져오는 설정과 과거 변경 내역을 읽는 명령이 담겼다. 코드에서 지웠더라도 이력에 남아 있는 클라우드·AI 서비스 키가 수집 대상이 될 수 있다는 뜻이다.

발견된 악성 워크플로를 삭제하는 것만으로 유출 위험이 해소되지는 않는다. StepSecurity는 노출 가능성이 있는 인증정보를 교체하고, 워크플로 삽입에 쓰인 GitHub 자격증명도 폐기할 것을 권고했다. 기본 브랜치뿐 아니라 다른 브랜치와 포크, 워크플로 실행 기록, 패키지 배포 경로를 함께 점검해야 한다는 설명이다.

피해 범위는 조사 시점과 집계 방식에 따라 달라진다. 악성 워크플로 실행과 패키지 배포 권한 노출은 확인된 사안이지만, 이를 모든 관련 패키지의 악성 배포가 확인된 것으로 확대해 해석해서는 안 된다. 개발팀은 유지관리자 계정의 권한과 CI 실행 경로, 과거에 커밋한 인증정보를 함께 살펴볼 필요가 있다.

출처: OpenSourceMalware 원문 분석 https://opensourcemalware.com/blog/ghostaction-attack-escalates
Socket Research Team 원문 분석 https://socket.dev/blog/ghostaction-cloud-credentials
StepSecurity 원문 분석 https://www.stepsecurity.io/blog/ghostaction-returns