깃허브에서 다른 사용자로 위장‧악의적 코드 공격 확인

깃허브에 공개된 오픈소스 프로젝트는 코드에 오류가 있을 경우 누구나 수정 제안을 할 수 있다. 하지만 이 시스템을 악용해 악의적인 코드를 추가하려는 시도가 다수 확인되고 있다. 최근에는 신원을 숨기는 게 아닌 다른 사람으로 위장해 악의적인 커밋을 하려고 한다고 보이게 하는 사례가 확인됐다.

AI를 누구나 사용할 수 있게 하는 기술을 개발하는 스타트업 엑소랩(EXO Labs) 공동 창업자인 알렉스 치마는 자사 깃허브 저장소에서 이상한 커밋을 발견하고 백도어를 설치하는 코드라며 경고를 발령했다.

코드는 맥용 기계학습 프레임워크 MLX가 Deepseek 모델 실행을 요구하고 있다는 설명과 함께 2~3자리 숫자가 대량으로 나열된 것이었다.

Backdoor attempt on @exolabs through an innocent looking PR.

Read every line of code. Stay safu. pic.twitter.com/M0WHoCF5Mu

— Alex Cheema – e/acc (@alexocheema) November 12, 2024

보도에 따르면 이 숫자는 파이썬 코드를 변환한 것으로 원래대로 되돌리면 특정 URL에서 ‘stage1payload’라는 데이터를 읽으려 했다고 한다. 코드를 추가한 깃허브 계정은 ‘evildojo666’이었으며 파일이 있던 URL 도메인명은 ‘evildojo’로, 프로그래머 마이크 벨이 자주 사용하는 문구였다. 참고로 벨의 실제 깃허브 계정은 ‘mikedesu’다.

벨은 이 건에 대해 누군가가자신으로로 위장하고 있다며 위장범은 자신이 무시하고 있는 것에 화가 난 것 같다면서 다른 사람까지 연루된 걸 죄송하게 생각한다고 게시했다.

조사에 따르면 데이터 다운로드 출처인 URL에 접속해도 데이터는 발견되지 않았다고 한다. 깃허브에서 다른 사람으로 위장한 계정 생성이 쉽다는 점에서 그의 설명대로 누군가가 벨로 위장해 행한 것일 가능성이 충분히 있다고 할 수 있다.

If you're looking for clarity about the Github backdoor attempts from November 12th:

– someone is impersonating me
– impersonator mad that i'm not giving them attention
– i am sorry others are being dragged into it
– taking a few hours off to work on my game again (priority)

— darkmage (@evildojo666) November 12, 2024

‘evildojo666’과 마찬가지로, ‘darkimage666’이라는 계정도 악의적인 코드 추가를 시도한 흔적이 보고됐다. 이 ‘darkimage666’은 아이콘에 벨의 엑스 계정 이미지를 사용하고 프로필도 벨의 것을 사용했다고 한다. 참고로 ‘evildojo666’과 ‘darkimage666’ 모두 삭제됐다.

또 ‘yt-dlp’ 등 여러 인기 프로젝트가 비슷한 악의적인 커밋 표적이 되고 있다고 보고됐으며 최소 18건 풀 리퀘스트가 확인됐다고 한다.

이런 종류 공격에서는 최근 2024년 4월에 발각된 ‘XZ Utils’에 대한 악의적인 백도어 삽입이 유명한 사례이며 다른 프로젝트에도 비슷한 공격이 이뤄지고 있다는 경고가 발령되고 있다. 관련 내용은 이곳에서 확인할 수 있다.