악성 깃허브 액션스, 수만 개 저장소 감염
최근 30일 조회수 — 좋아요 —핵심 요약
탈취된 관리자 계정으로 악성 워크플로가 확산돼 저장소 시크릿과 API 키 등 자격증명을 빼냈다.
오픈소스 관리자 두 명의 깃허브(GitHub) 계정이 탈취돼 자격증명을 빼내는 악성 깃허브 액션스(GitHub Actions) 워크플로가 340개 넘는 저장소에 삽입됐다. 보안업체 소켓(Socket)은 이 공격이 더 넓게 번져, 10월 7일부터 9일까지 500개가 넘는 계정이 수만 개 저장소에 같은 워크플로를 커밋한 것으로 파악했다.1
공격자는 먼저 별 1만8,400개를 받은 게임 엔진 pyxel의 개발자 다카시 기타오 계정으로 27개 저장소에 악성 워크플로를 올렸다. 8시간 뒤에는 우버 athenadriver의 원저자인 헨리 우의 계정을 이용해 불과 16분 동안 318개 저장소를 감염시켰다. 유출된 개인용 액세스 토큰(PAT)이나 정보 탈취형 악성코드가 수집한 로그에서 관리자 자격증명을 확보했을 가능성이 크다는 게 보안업체 스텝시큐리티(StepSecurity)의 분석이다.1
워크플로 이름은 Security Audit 또는 GitHub Actions Security, 파일명은 각각 security-audit.yml과 github_actions_security.yml이다. 보안 점검 도구처럼 보이지만 실제로는 저장소의 시크릿과 파일, 전체 깃 이력을 훑은 뒤 데이터를 고정 IP 주소 193.32.204[.]199로 평문 HTTP 전송한다. 브랜치나 태그를 가리지 않는 push와 수동 실행인 workflow_dispatch를 계기로 작동하며, fetch-depth: 0으로 삭제된 과거 커밋까지 내려받는다.1
탈취 대상에는 CI/CD 시크릿을 비롯해 AWS 키, SSH 개인키, 데이터베이스 자격증명, 깃허브·깃랩 토큰, npm·PyPI·도커허브 토큰, 앤트로픽·오픈AI·오픈라우터 API 키가 포함된다. 공격 코드는 13개 자격증명 패턴을 검사하고 AWS 액세스 키 ID와 비밀 키의 짝도 맞춘다. 깃가디언(GitGuardian)은 8월 31일부터 9월 30일까지 별도로 집계한 공격에서 373개 사용자·조직의 공개 저장소 772개와 시크릿 2,577개가 표적이 됐다고 밝혔다.1
이번 활동은 2025년 9월 처음 드러난 공급망 공격 ‘고스트액션(GhostAction)’의 연장선으로 분석됐다. 당시에는 327명의 저장소 817개가 영향을 받아 시크릿 3,325개가 유출됐다. 적어도 한 차례는 감염된 저장소의 도커 이미지에 암호화폐 채굴기 XMRig가 삽입됐지만, 탈취한 배포 자격증명으로 악성 패키지를 출시한 사례는 아직 확인되지 않았다.1
관리자는 8월 31일 이후 모든 브랜치와 포크에서 두 파일을 찾아야 한다. 발견했다면 실행 여부와 무관하게 침해를 전제로 깃허브 자격증명과 노출 가능한 시크릿을 폐기·교체하고, 악성 워크플로를 제거해야 한다.1
Footnotes
읽기 목록은 이 브라우저에 저장됩니다.
출처
- Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories — The Hacker News
이 글은 위 출처를 근거로 자동 생성된 뒤 발행됐습니다. 원문을 함께 확인해 주세요. 교차 보도 없이 단독 출처로 작성됐습니다.