앤트로픽의 인공지능(AI) 코딩 도구 ‘클로드 코드(Claude Code)’ 소스코드 유출 직후, 공격자들이 이를 미끼로 한 악성코드 유포가 빠르게 확산되며 개발자들의 각별한 주의가 요구된다. 개발자 커뮤니티를 겨냥한 이번 공격 캠페인은 AI 개발자들의 호기심과 개발 생태계 신뢰 구조를 동시에 노린 사회공학적 공격이라는 점에서 보안 업계의 주목을 받고 있다.

글로벌 보안 기업 트렌드AI(TrendAI, 트렌드마이크로의 신규 브랜드)는 소스코드 유출 이후 24시간이 지나지 않아 가짜 깃허브 저장소를 활용한 악성코드 유포가 시작됐다고 지난 3일 보고서를 통해 경고했다.

클로드 코드 소스코드 유출 사건의 발단은 패키지 배포 과정의 설정 오류에서 비롯된 것으로 알려졌다. 앤트로픽은 지난달 31일 클로드 코드 npm 패키지를 배포하면서 내부 소스코드가 포함된 ‘소스맵(.map)’ 파일을 제외하지 못했다. 해당 파일에는 약 1900개 파일, 51만 줄 규모의 타이프스크립트(TypeScript) 코드가 담겨 있었으며, 비난독화 상태로 포함돼 내부 로직과 기능 구조까지 외부에 그대로 드러났다.

유출된 코드에는 자율 동작 에이전트 모드, 메모리 최적화 기능, 내부 보호 로직, 미공개 모델 코드명 등도 포함된 것으로 확인됐다. 해당 코드는 공개 직후 수 시간 내 깃허브 등으로 확산됐다.

공격자는 유출 사건을 즉시 악용했다. 트렌드AI에 따르면 공격자는 “leaked Claude Code(클로드 코드 유출)” 등의 검색어에서 상위에 노출되도록 가짜 깃허브 저장소를 구성하고, 리드미(README) 파일에 “유출 소스코드 복원”, “제한 없는 기능 제공” 등의 문구를 삽입해 정상 프로젝트처럼 위장했다. 

감염은 사용자가 저장소 내 링크를 통해 가짜 소스코드 파일을 내려받는 순간 시작된다. 깃허브 릴리즈(GitHub Releases)에 등록된 압축 파일(7z)을 실행하면, 내부에 포함된 실행 파일이 추가 악성코드를 불러와 설치하도록 하는 ‘드로퍼(dropper)’로 작동하는 구조다.

유포된 악성코드는 정보 탈취형(infostealer) ‘비다르(Vidar)’와 프록시 기능을 수행하는 ‘고스트삭스(GhostSocks)’다. 비다르는 브라우저 저장 비밀번호, 세션 토큰, 신용카드 정보, 암호화폐 지갑 데이터를 수집한다. 고스트삭스는 감염된 시스템을 ‘SOCKS5’ 프록시로 전환해 공격자의 활동을 은폐한다.

특히 명령제어(C&C) 서버 주소를 게임 플랫폼인 ‘스팀(Steam)’ 커뮤니티 프로필이나 텔레그램 채널을 통해 동적으로 가져오는 방식이 적용돼, 보안 장비를 통한 차단을 어렵게 만든다.

뿐만 아니라 드로퍼에는 분석 회피 기능도 포함돼 탐지가 까다로운 것으로 알려졌다. VM웨어, 버추얼박스, 하이퍼-V 등과 같은 가상환경과 x64dbg, IDA 등의 디버깅 도구를 탐지해 실행을 중단하고, 문자열을 XOR 방식으로 암호화해 정적 분석을 어렵게 만든다. 또한 ‘윈도 디펜더(Windows Defender)’ 주요 기능을 비활성화하고 방화벽 예외를 추가하는 등 보안 기능 무력화 시도도 확인됐다. 이밖에 그래픽처리장치(GPU) 환경을 기준으로 감염 우선순위를 설정하는 로직도 포함돼, 고성능 개발 환경을 주요 타깃으로 삼았다는 점도 특징이다.

최영삼 트렌드AI 상무는 “이번 공격은 개발자의 호기심과 깃허브 플랫폼에 대한 신뢰를 결합한 전형적인 사회공학 기반 공격”이라며 “개발자 PC가 감염될 경우 단순한 개인 피해를 넘어, 클라우드 API 키, CI/CD 파이프라인, 코드 저장소 접근 권한까지 연쇄적으로 노출되며 공급망 전체로 피해가 확산될 수 있다”고 말했다. 

이번 공격은 특히 개발자들의 관심도가 높은 주제를 겨냥해 계속되고 있다는 점에서 지속적인 관심과 주의가 필요하다. 최영삼 트렌드AI 상무는 “이번 공격의 배후 그룹은 올해 2월부터 25개 이상의 소프트웨어 브랜드를 사칭하며 동일한 악성코드를 반복 유포해온 조직적인 캠페인을 수행하고 있다”며 “이런 맥락에서 클로드 코드 소스 유출은 공격자 입장에서 가장 시의성 높은 미끼였다고 볼 수 있다”고 말했다. 

보안 업계는 이번 사건이 개발자 환경을 직접 겨냥했다는 점에서 공급망 공격으로 확산될 가능성을 경계하고 있다. 개발자 PC가 감염될 경우 깃허브 계정, 클라우드 API 키, CI/CD(지속적 통합·배포) 파이프라인 등으로 피해가 확장될 수 있기 때문이다.

최영삼 트렌드AI 상무는 “저장소가 차단되면 즉시 새 계정과 새로운 미끼로 공격을 재개하는 구조인 만큼, 이를 단발성 사고로 봐서는 안 되며, 개발자 도구와 AI 에이전트 사용 전반에 대한 조직 차원의 통제와 가시성 확보가 필요하다”고 조언했다.

정종길 기자
jk2@chosunbiz.com

• BMW 뮌헨 공장, 로봇·AI로 車 생산
• 美은 압박, 국내선 반발…온라인플랫폼법 ‘사면초가’
• 싼타페·쏘렌토 가격에 테슬라… SUV 시장 균열 조짐
• 전인석 대표 “삼천당제약 기술력 확실… 사실 증명할 것”
• [인사] 동양생명