GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories

핵심 요약

GhostAction 공격자들이 GitHub 저장소에 악성 GitHub Actions 워크플로우를 주입하고, 오픈소스 개발자를 대상으로 피싱을 통해 가짜 폰트 파일로 위장한 정보 탈취 악성코드를 배포하는 공급망 공격 수법을 진화시키고 있습니다. 이 공격은 개발 환경의 소프트웨어 공급망을 악용하여 Initial Access(TA0001)를 확보하고, 악성 라이브러리(T1204.005) 형태로 정보 탈취 악성코드를 유포하는 것이 특징이며, 공격자들은 방어 조치에 대응하여 공격 방식을 지속적으로 정교화하고 있습니다. IT 감사인은 조직의 개발 및 운영 환경에서 오픈소스 소프트웨어 사용 현황과 GitHub 등 외부 개발 플랫폼 연동 보안 통제를 점검하여 공급망 공격에 대한 방어 태세를 강화해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치GitHub 등 외부 코드 저장소에 대한 접근 통제 정책을 강화하고, 개발자 계정에 대해 다단계 인증(MFA)을 의무화하며, 의심스러운 GitHub Actions 워크플로우 실행을 탐지하고 차단하는 보안 솔루션을 도입 및 적용해야 함을 권고함.
• ✔기술적 조치오픈소스 소프트웨어 및 외부 라이브러리 도입 시 SBOM(Software Bill of Materials)을 활용하여 구성 요소를 명확히 식별하고, 정적/동적 분석 도구를 통해 알려진 취약점 및 악성코드 포함 여부를 지속적으로 점검할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 강화를 위한 정책을 수립하고, 개발자 및 운영자를 대상으로 피싱 공격, 사회공학적 기법, 악성 오픈소스 라이브러리 위험성에 대한 정기적인 보안 교육을 시행할 것을 권고함.
• ✔관리적 조치CI/CD 파이프라인 및 GitHub Actions 워크플로우에 대한 보안 검토 및 승인 절차를 수립하여, 무단 변경이나 악성 코드 주입을 방지하는 통제를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기