구글에서 선호하는 출처로 추가
웹3 개발자, 커서로 채용 과제 폴더 열고 악성코드 감염
이준한 기자
brucexu.eth는 지난 1월 채용 과정에서 받은 프로젝트 폴더를 커서(Cursor)로 연 뒤 기기가 감염됐다고 밝혔다. 자산 손실은 없었다.
토포AI로 이 기사 더 깊이 읽기
가짜 채용 과정에서 받은 프로젝트 폴더를 커서(Cursor)로 연 웹3 개발자 brucexu.eth가 기기 감염을 겪었다고 밝혔다. 자산 손실은 없었다.
사건은 지난 1월 발생했다. brucexu.eth는 채용 절차를 진행하던 상대방에게 받은 코드 저장소를 열어 살펴보기만 하면 안전할 것으로 생각했다고 설명했으며, 체인캐처(ChainCatcher)가 이를 전했다.
그는 코드를 직접 실행하지 않았다고 밝혔다. 개발자가 코드를 실행했는지와 개발 도구가 프로젝트를 열며 설정된 작업을 수행했는지는 구분해야 한다.
코스(Cos) 슬로우미스트(SlowMist) 창립자는 전달된 샘플을 분석한 뒤 프로젝트 폴더를 여는 동작도 악성 코드 실행으로 이어질 수 있다고 경고했다.
슬로우미스트가 공개한 별도 시연 자료는 폴더를 열 때 명령이 실행되도록 설정한 프로젝트를 이용해 이 경로를 설명한다.
시연용 프로젝트에는 폴더를 열 때 실행되도록 설정된 작업 파일이 들어 있다. 해당 폴더를 커서에서 열자 계산기가 실행됐다.
이 시연은 프로젝트 폴더를 여는 과정에서 명령이 실행될 수 있음을 보여준다. brucexu.eth가 받은 저장소에서 같은 파일이 작동했다는 뜻은 아니다.
마이크로소프트(Microsoft)의 VS Code 관련 GitHub 이슈는 자동 작업의 기본 설정을 ‘꺼짐’으로 두고, 처음 여는 프로젝트에서는 사용자가 허용해야 작업이 실행되는 방식으로 설명한다.
슬로우미스트의 시연 자료는 커서에서 프로젝트 신뢰 확인 기능을 켜고 자동 작업을 끄는 설정을 제시한다. 도구별 기본값과 프로젝트 설정에 따라 동작이 달라질 수 있다.
따라서 폴더를 여는 것만으로 모든 개발 환경에서 악성 코드가 실행된다고 일반화할 수는 없다. 이번 사건의 구체적인 감염 경로와 실제로 실행된 파일은 공개된 설명에 담기지 않았다.
채용을 가장한 접근은 개발자에게 낯선 프로젝트를 검토할 이유를 만든다. 코드 저장소를 전달받았다는 사실만으로 그 안의 파일이나 자동 작업을 신뢰할 수 있는 것은 아니다.
본지는 앞서 웹3 구직자에게 프로젝트 실행을 유도해 브라우저·지갑 정보를 노린 공격 사례를 보도했다. 해당 사례는 프로젝트 실행이나 빌드를 유도한 공격으로, 폴더를 연 뒤 감염됐다는 이번 설명과는 구분된다.
또 웹3 개발자를 겨냥한 VS Code 플러그인 공급망 오염 의혹도 다룬 바 있다. 두 사례는 개발 환경이 공격 대상으로 거론됐다는 공통점이 있지만, 이번 감염과 같은 공격 경로라고 볼 근거는 제시되지 않았다.
brucexu.eth는 감염을 확인한 뒤 자산을 옮기고 인증 정보를 교체했으며 운영체제를 다시 설치했다고 밝혔다. 그가 공개한 결과는 자산 손실이 없었다는 것이다.
Comment 0
불러오는 중…