JINX-0164 위협 행위자

이전에 기록되지 않은 JINX-0164라는 신원 미상의 사이버 공격자가 암호화폐 관련 기업들을 대상으로 고도의 표적 공격을 감행했습니다. 이들은 채용을 가장한 소셜 엔지니어링 기법과 맞춤형 macOS 악성코드를 이용하여 디지털 자산을 탈취했습니다. 최소 2025년 중반부터 활동해 온 이 금전적 이득을 노리는 그룹은 개발자들을 집중적으로 공격했으며, 최소 한 건의 확인된 사건에서는 소프트웨어 공급망을 침해하기도 했습니다.

이번 공격 캠페인은 기만적인 채용 전략, 악성코드 배포, 그리고 CI/CD 환경에 대한 심층 침투를 고도로 결합한 수법을 보여줍니다. 공격자들은 직원 워크스테이션을 해킹하여 개발 인프라 및 코드 배포 시스템으로 성공적으로 침투함으로써 침입의 범위와 영향력을 크게 확대했습니다.

채용 사기가 진입점이 됩니다

JINX-0164는 링크드인에서 실제와 다른 인물을 사칭하여 암호화폐 관련 기업에 근무하는 개발자 및 직원들을 대상으로 접촉을 시도합니다. 피해자들은 합법적인 화상 회의 플랫폼을 사칭하는 가짜 도메인에서 진행되는 온라인 회의에 참여하도록 유도됩니다.

가짜 회의 설정 과정에서 피해자는 회의 클라이언트 또는 기술 수정 프로그램으로 보이는 파일을 다운로드하라는 지시를 받습니다. 하지만 실제로는 다운로드한 파일이 'apple.driver-store.com'이라는 위조된 드라이버 배포 도메인에서 AUDIOFIX라는 파이썬 기반 macOS 정보 탈취 및 원격 접속 트로이목마를 가져와 감염을 시작합니다.

감염 과정은 피해자의 시스템 아키텍처를 식별할 수 있는 bash 스크립트를 통해 이루어지며, 이를 통해 악성코드는 인텔 기반 및 애플 실리콘 기반 macOS 기기 모두에서 원활하게 작동할 수 있습니다. 악성코드는 'coreaudiod'라는 시스템 오디오 드라이버로 위장하고, 'ChromeUpdater'라는 이름으로 로컬에 저장되며, macOS의 launchctl 메커니즘을 사용하여 실행되어 지속성을 유지합니다.

AUDIOFIX는 시스템에 심각한 침투를 가능하게 합니다.

AUDIOFIX는 배포 후 광범위한 자격 증명 탈취 및 정찰 작업을 수행하는 동시에 내부 인프라로의 측면 이동을 지원합니다. 연구원들은 이 멀웨어가 개발 시스템에 악성 페이로드를 주입하고 소스 코드를 수정하여 추가 엔드포인트를 침해하고 암호화폐 지갑 자격 증명을 탈취하려는 시도에 사용되는 것을 확인했습니다.

해당 악성 소프트웨어는 다음과 같은 다양한 중요 정보를 탈취할 수 있습니다.

• 암호 관리자 자격 증명, 브라우저 데이터, iCloud 키체인 파일, SSH 키, 관리자 자격 증명, 콘솔 기록 및 구성 파일
• 암호화폐 지갑 주소, 암호화폐 서비스와 연결된 브라우저 확장 프로그램 데이터, Discord, Slack 및 Telegram의 활성 세션 정보

정보 탈취 외에도 AUDIOFIX는 원격 명령 실행, 파일 삭제, 페이로드 전달, 정찰 활동 및 감염된 시스템에서 데이터 유출을 지원합니다.

MiniRAT은 공급망 악용을 통해 위협을 확대합니다.

이번 작전의 또 다른 주요 구성 요소는 '@velora-dex/sdk'라는 이름의 손상된 npm 패키지와 연관된 Go 기반 백도어인 MiniRAT입니다. 이 패키지는 VeloraDEX 플랫폼에서 토큰 스왑, 델타 거래 및 지정가 주문에 사용되는 합법적인 탈중앙화 금융 툴킷과 관련되어 있었습니다.

악성 패키지는 원격 서버에서 셸 스크립트를 가져와 최종적으로 macOS 전용 MiniRAT 바이너리를 배포합니다. 설치가 완료되면 공격자는 파일을 업로드하고, 임의의 셸 명령을 실행하고, 공격자가 제어하는 인프라에서 추가 페이로드를 다운로드할 수 있습니다.

JINX-0164는 가짜 채용 공고와 피해자가 사기성 소프트웨어를 설치하도록 유도하는 조작된 기술적 문제를 이용하는 사회공학적 수법을 반복적으로 사용해 왔습니다. 이러한 일관된 수법은 이 그룹이 인간 조작을 주요 침입 수단으로 삼고 있음을 보여줍니다.

북한의 사이버 작전과의 연관 가능성

이번 캠페인의 여러 특징은 블루노로프(BlueNoroff), 컨테이저스 인터뷰(Contagious Interview), UNC1069와 같은 북한 사이버 위협 그룹의 활동과 유사합니다. 연구원들은 공격 대상 패턴, 도메인 위장, 그리고 애스트릴 VPN(Astrill VPN)과 같은 VPN 서비스 사용에서 유사점을 발견했습니다.

이러한 유사점에도 불구하고, 수사관들은 JINX-0164를 북한 국가 지원 작전과 직접적으로 연결하는 확정적인 기반 시설 연결 고리를 발견하지 못했습니다. 현재까지의 증거는 명확한 연관성보다는 작전상의 유사성을 시사할 뿐입니다.