소프트웨어 공급망 공격이 개발과 보안 연구 과정까지 침투하면서 사이버 위협의 탐지와 대응 방식에도 변화가 요구되고 있다. 공격자가 정상적인 소프트웨어나 공개 코드를 변조해 악성 프로그램을 유포할 경우, 이를 사용하는 개발자와 보안 연구자도 공격 대상이 될 수 있기 때문이다. 특히 취약점 검증에 활용하는 개념증명(PoC) 코드에 악성 패키지를 숨기는 방식은 보안 연구자가 수행하는 정상적인 업무 절차를 감염 경로로 악용한다는 점에서 주목된다. 데이터 인텔리전스 기업 에스투더블유가 글로벌 사이버보안 학술행사에서 이러한 공격 사례와 인공지능(AI) 기반 탐지 기술을 발표했다.
에스투더블유(S2W, 488280)는 지난 14일부터 16일까지 스페인 세비야에서 열린 글로벌 보안 콘퍼런스 ‘VB2026(Virus Bulletin 2026)’에서 소프트웨어 공급망 공격 사례와 AI 기반 탐지 기술에 관한 연구 결과를 공유했다. 이번 발표는 S2W 통합분석실의 김지호 책임연구원이 맡았다. 김 연구원은 행사 마지막 날인 16일 발표자로 나서 보안 연구자가 취약점을 검증하기 위해 사용하는 PoC 코드가 악성코드 감염 경로로 악용된 사례를 소개했다.
에스투더블유, 글로벌 보안 학술행사 ‘VB 컨퍼런스’서 6년 연속 발표를 진행했다. (사진 제공: 에스투더블유)
VB 컨퍼런스는 영국의 보안 정보·테스트·인증 전문기관 바이러스 불러틴(Virus Bulletin)이 1991년부터 개최해 온 사이버보안 학술행사다. 악성코드 분석과 위협 인텔리전스(TI)를 중심으로 세계 각국의 보안 연구자와 분석가, 기업 보안 책임자, 컴퓨터 긴급대응팀(CERT), 컴퓨터 보안사고 대응팀(CSIRT), 정부 및 법집행기관 관계자 등이 참여한다.
참가자들은 실제 사이버 공격에 대한 조사 결과와 악성코드 분석 기법, 최신 위협 동향 및 대응 기술을 공유한다. S2W는 2021년부터 올해까지 6년 연속 해당 행사에서 연구 성과를 발표했다.
그동안 북한 연계 해킹 조직의 공격 전략 변화와 딥웹·다크웹 위협 행위자 추적, 모바일 악성 애플리케이션 분석 등 다양한 주제를 다뤘다. 올해는 공개된 취약점 검증 코드가 공격자에 의해 변조돼 악성코드 유포에 이용되는 공급망 공격을 분석했다.
PoC는 소프트웨어 취약점이 실제로 존재하는지 확인하거나 특정 기술의 구현 가능성을 검증하기 위해 작성하는 코드다. 보안 연구자들은 공개된 PoC를 활용해 취약점을 재현하고 공격 가능성을 분석한다.
공개 PoC의 의존성 변조해 악성코드 실행…패키지 구조 분석으로 탐지
김 연구원이 발표한 사례에서 공격자는 정상적으로 공개된 PoC 코드를 복제한 뒤 의존성 설정과 일부 보조 코드를 변조했다. 의존성은 프로그램을 실행하기 위해 함께 설치하거나 불러와야 하는 외부 라이브러리와 소프트웨어 패키지 등을 의미한다. 공격자는 이 구조를 악용해 연구자가 개발 환경을 준비하는 과정에서 악성 패키지가 함께 설치되도록 유도했다. 이후 연구자가 취약점 검증을 위해 PoC 코드를 실행하고 해당 패키지를 불러오면 패키지 내부에 숨겨진 악성 네이티브 확장 모듈이 동작하는 방식이다. 네이티브 확장 모듈은 특정 실행 환경에서 동작하도록 컴파일된 코드 구성 요소로, 패키지 내부에 포함돼 다른 프로그램과 함께 실행될 수 있다.
이번 사례에서는 연구자가 취약점 검증을 위해 수행하는 코드 실행 과정이 악성 모듈을 작동시키는 경로로 이용됐다. 공격자가 정상적인 연구 절차를 악용해 악성코드를 실행하도록 설계했다는 점이 특징이다.
김 연구원은 발표에서 공격의 시작부터 악성코드가 실행되기까지의 전체 과정을 추적하고, 정상적인 PoC 코드가 어떤 방식으로 변조됐는지 분석한 결과를 공유했다. 이와 함께 악성 패키지를 사전에 식별하기 위한 탐지 시스템도 소개했다. 해당 시스템은 패키지 정보와 의존성 구조, 네이티브 확장 모듈에서 나타나는 이상 징후를 자동으로 분석하도록 설계됐다.
특히 AI를 활용해 위험도가 높은 사례에서 발견된 증거를 해석하고, 악성 패키지 여부를 판단하는 데 필요한 정보를 제공하는 방식이다. 이를 통해 연구자가 PoC를 실행하기 전에 패키지 구성과 의존성에서 나타나는 의심 요소를 확인하고, 악성코드 감염 가능성을 낮추는 데 활용할 수 있도록 했다.
이번 발표는 소프트웨어 공급망 공격에 대응하기 위해서는 실행 파일이나 알려진 악성코드만 검사하는 방식에서 나아가, 개발 과정에서 설치되는 외부 패키지와 의존성 구조까지 살펴볼 필요가 있다는 점을 다뤘다. 보안 연구 환경에서도 공개 코드의 출처와 변경 사항, 패키지 설치 과정 등을 확인하는 절차가 중요하다는 사실을 실제 공격 사례를 통해 제시했다.
김지호 S2W 책임연구원은 “소프트웨어 공급망 공격은 이제 보안 연구자가 일상적으로 수행하는 취약점 검증 과정까지 공격 경로로 악용할 만큼 정교해지고 있다”며 “앞으로도 실제 공격 사례에 대한 심층 분석과 AI 기반 탐지 기술 연구를 이어가며 새로운 공격 기법을 빠르게 식별하고 실질적인 대응 역량을 높이는 데 기여하겠다”고 말했다.
S2W는 2018년 9월 설립된 데이터 인텔리전스 기업으로, 다양한 출처의 데이터를 연결하고 분석하는 기술을 기반으로 보안 및 전략 인텔리전스 솔루션을 제공하고 있다.
주요 제품으로는 공공·정부기관용 안보 AI 플랫폼 ‘자비스(XARVIS)’, 기업 및 기관용 보안 AI 솔루션 ‘퀘이사(QUAXAR)’, 온톨로지 기반 의사결정 운영체제 ‘SAIP’ 등이 있다.
S2W는 2023년 세계경제포럼(WEF)의 ‘100대 기술 선도기업’에 선정됐으며, 국제형사경찰기구 인터폴(INTERPOL)의 ‘게이트웨이 이니셔티브(Gateway Initiative)’에 한국 파트너로 참여하고 있다. 마이크로소프트와 오픈AI 등 글로벌 기술기업과도 협력하고 있다. 또한 실제 공격 사례에 대한 연구와 분석을 이어가며 공급망 공격을 비롯한 사이버 위협의 식별 및 대응에 필요한 AI 기반 분석 기술을 고도화할 계획이다.
The post 에스투더블유, 글로벌 보안 학술행사 ‘VB2026’서 공급망 공격 탐지 기술 발표 appeared first on 벤처스퀘어.