내가 표적이 됐다: git post-checkout 훅으로 자격 증명 탈취를 노린 시도

교육 기술 웹 앱 개발 문의를 가장해 Frank Wiles의 노트북에서 임의 코드를 실행하도록 유도한 공격이 있었으며, Wiles는 GitHub 계정이나 고객 관련 접근 권한을 노린 것으로 추정함 공격자는 미팅 전 프로젝트 자료 검토와 NDA 서명을 요청한 뒤, Dropbox로 전달한 저장소의 NDA 브랜치로 전환하도록 유도함 Dropbox 폴더에는 .git 디렉터리가 포함돼 있었고, .git/hooks 안에는 실제 실행되는 post-checkout 훅이 심어져 있었음 악성 훅은 Vercel 앱을 명령 및 제어 서버로 사용해 운영체제별 바이너리를 내려받고, 실행 권한을 부여해 실행한 뒤 자신을 삭제하는 방식으로 동작함 브랜치 전환 요청을 수상하게 여겨 훅을 확인하면서 공격을 피했으며, Dropbox와 Vercel 보안팀에 신고함 프로젝트 문의에서 NDA 브랜치 전환 유도까지 교육 기술 분야 웹 앱 개발 문의는 평범한 잠재 고객의 연락처럼 시작됨 Wiles는 해당 분야의 작업을 상당히 수행하고 있었고, 일정이 차 있어도 고객이 착수를 늦출 수 있는지 확인하기 위해 이런 문의에 후속 연락을 하는 편이었음 통화를 제안하며 Calendly 링크를 전달하자, 상대는 미팅 전에 프로젝트 개요와 세부 자료를 읽고 NDA에 서명해 달라고 요청함 공격자가 공유한 Dropbox 폴더에는 Markdown 파일이 담긴 여러 폴더가 있었음 프로젝트 명세는 모호하고 세부 정보가 부족했지만, 요청한 MVP를 위한 자료로 볼 만한 분량은 갖추고 있었음 처음에는 함께 들어 있던 .git 폴더를 발견하지 못함 NDA나 템플릿을 찾지 못해 이메일로 보내 달라고 하자, 상대는 NDA 브랜치로 전환해 문서를 작성하고 미팅 전에 돌려보내라고 요구함 이 요청을 계기로 실제 프로젝트가 아니라는 사실을 알아차리고 .git/hooks를 확인함 악성 훅의 동작과 대응 .git/hooks에는 여러 *.example 훅과 실제 post-checkout 훅 하나가 있었으며, 이를 조심스럽게 열어 동작을 확인함 악성 훅은 Vercel 앱을 명령 및 제어에 사용함 운영체제에 맞는 바이너리를 다운로드하고 실행 권한을 부여한 뒤 실행함 이후 훅 자신을 삭제함 공격 목적은 노트북에서 임의 코드를 실행하는 것이었으며, Wiles는 GitHub 계정이나 다수의 REVSYS 고객 관련 접근 권한을 얻으려 했을 가능성을 의심함 실제 자격 증명 탈취 여부나 바이너리의 추가 동작은 ...