바이러스 토탈 헌팅 기능으로 수집한 자바스크립트 파일을 분석하던 중, 다수의 자바스크립트 파일에서 특정 스마트 컨트랙트 주소가 언급되는 것을 확인하였다. 추가 분석 결과, 해당 스마트 컨트랙트 주소는 ClearFake 캠페인에서 사용하는 EtherHiding 기법과 연관된 것으로 밝혀졌다.

ClearFake 캠페인은 EtherHiding과 ClickFix 기법을 활용하여 악성코드를 은폐하고, 다수의 사용자에게 악성코드를 유포하는 정교한 공격이다. EtherHiding 기법은 이더리움 스마트 컨트랙트를 이용하여 악성 행위를 숨기는 기술이고, ClickFix 기법은 사용자 클릭을 유도하여 악성코드를 실행하는 방식이다.

본 글에서는 이 두 기법을 활용하여 다수의 사용자에게 악성코드를 유포하는 ClearFake 캠페인 분석 내용을 다룬다.

X에서 확인한 악성코드 분석 과정에서, 지난 2025년 3월부터 공격에 악용된 Github 계정을 확인했다.

악성코드에는 공격자의 유효한 Github PAT(Personal Access Token)이 하드코딩되어 있었고, 이 토큰을 이용하여 비공개 리포지토리에서 악성코드를 다운받고, 피해 시스템에서 수집한 정보를 비공개 리포지토리로 업로드하는 것이 확인되었다.

리포지토리에 존재하는 파일들은 악성코드와 미끼 파일, 감염 시스템 정보로 확인되었으며, 공격자가 Github를 공격 인프라로 악용한 것을 알 수 있었다.

본 글에서는 공격 인프라를 식별한 과정과 공격 흐름을 분석하고, 북한 배후 공격 그룹인 Kimsuky와의 연관성에 대하여 다룬다.

깃허브는 개발자들이 자신의 작업물이나 포트폴리오를 공유하고 협업하는 데 활용되는 플랫폼이다. 그러나 연구원이나 개발자, 구직자로 위장하여 정상적인 리포지토리처럼 보이게 한 뒤, 일부 파일에 악성 스크립트를 삽입하거나 악성코드를 1-Day 취약점 PoC로 위장해 업로드하는 등 악성코드 감염을 유도하는 다양한 사례가 존재한다.

북한 IT 노동자들의 경우 외화 벌이와 정보 탈취 목적으로 링크드인과 깃허브에 허위 프로필을 만들고, 개발자로 위장하여 취업을 시도하는 사례가 확인된 바 있다.

이처럼 깃허브는 공격자들이 사회공학 기법과 결합하여 채용 담당자나 일반 사용자를 속이는 데 악용되고 있다.

caption - 공격자의 구직 활동 기록

본 글에서는 일부 리포지토리에 악성 스크립트를 삽입하고, 구직자로 위장하여 활동하는 공격자의 활동과 악성코드, 그리고 이와 연결된 피싱 공격에 대한 내용을 다룬다.