러시아 블록체인 개발자가 최근 Visual Studio Code용 악성 AI 확장 프로그램을 이용한 정교한 사이버 공격으로 인해 암호화폐 50만 달러를 잃었습니다. 공격자들은 Open VSX 레지스트리에서 검색 순위 알고리즘을 악용하여 가짜 "Solidity Language" 확장 프로그램을 홍보했으며, 이 확장 프로그램은 피해자의 시스템에 원격 액세스 도구와 정보 유출자를 설치하여 오픈 소스 생태계에서 증가하는 위협을 강조했습니다.
AI 확장 프로그램 사기로 50만 달러 암호화폐 강탈
2025년 6월에 발생한 우려스러운 사건에서 러시아 블록체인 개발자가 교활한 사이버 공격의 희생양이 되어 약 50만 달러 상당의 암호화폐를 도난당했습니다. 침해는 Cursor AI 통합 개발 환경을 위한 겉보기에 무해한 Visual Studio Code 호환 확장 프로그램에서 비롯되었습니다.
기만적인 "Solidity Language" 확장 프로그램
이 공격은 Solidity 구문 강조 표시에 대한 합법적인 도구로 위장한 "Solidity Language"라는 악성 확장 프로그램을 활용했습니다. 피해자의 엄격한 보안 관행(온라인 멀웨어 탐지 서비스 사용 포함)에도 불구하고 가짜 확장 프로그램이 Open VSX 레지스트리에서 부주의하게 설치되었습니다.
-
악성 확장 프로그램은 탐지 및 제거되기 전에 54,000건의 다운로드를 축적했습니다.
-
조작된 업데이트 날짜로 인해 정품 확장 프로그램보다 검색 결과에서 더 높게 나타나는 Open VSX 레지스트리의 관련성 기반 순위 시스템을 악용했습니다.
-
가짜 확장 프로그램에는 실제 구문 강조 표시 기능이 없었습니다. 대신 다단계 공격 체인의 드로퍼 역할을 했습니다.
정교한 감염 체인 공개
설치 시 악성 extension.js 파일은 C2(명령 및 제어) 서버와 접촉을 시작했습니다. 감염 과정은 다음과 같이 진행되었습니다.
-
초기 스크립트 다운로드: PowerShell 스크립트가
angelic[.]su에서 다운로드되어 ScreenConnect 원격 관리 소프트웨어의 존재 여부를 확인했습니다. -
ScreenConnect 설치: ScreenConnect가 감지되지 않으면 보조 스크립트가
lmfao[.]su에서 합법적인 원격 액세스 도구를 다운로드하여 설치하고relay.lmfao[.]su에서 공격자의 인프라와 통신하도록 구성했습니다. -
페이로드 전달: 그런 다음 ScreenConnect를 사용하여
relay[.]lmfao[.]su에서 3개의 Visual Basic 스크립트(VBScript)를 설치했습니다. 이러한 스크립트는paste[.]ee에서 Quasar 오픈 소스 백도어 및 PureLogs 정보 유출자를 포함한 추가 페이로드를 검색했습니다. -
스테가노그래피: 정보 유출자는 스테가노그래피를 사용하여
archive[.]org에 업로드된 이미지 내에 숨겨져 있었고 VMDetector 기반 로더가 이를 추출했습니다.
%userprofile%\.cursor\extensions\solidityai.solidity-1.0.9-universal\src\extension.js에 저장된 extension.js 파일에는 angelic[.]su 웹 서버에서 PowerShell 스크립트를 요청한 다음 이를 실행하는 코드가 포함되어 있습니다: Kaspersky
더 광범위한 캠페인 및 사칭 전술
이 사건은 더 큰 캠페인의 일부입니다. 연구원들은 npm 저장소의 "solsafe"와 "solaibot," "among-eth," 및 "blankebesxstnion"과 같은 추가 Visual Studio Code 확장 프로그램을 포함하여 유사한 감염 방법론과 C2 인프라를 사용하는 관련 악성 패키지를 식별했습니다.
VS Code 확장 프로그램(왼쪽) 및 Solidity 언어 확장 프로그램(오른쪽)에 대한 악성 스크립트: Kaspersky
초기 악성 확장 프로그램이 제거된 후 공격자들은 소문자 "l"을 대문자 "I"로 미묘하게 바꿔 합법적인 개발자의 이름을 스푸핑하여 동일한 "solidity" 이름으로 새 버전을 신속하게 게시하여 사용자를 속였습니다. 이 새 버전은 인지된 합법성을 더욱 부풀리기 위해 200만 건의 다운로드를 허위로 주장했습니다.
Solidity에 대한 검색 결과가 업데이트되었습니다.: Kaspersky
교훈 및 권장 사항
이 공격은 오픈 소스 생태계에서 공급망 공격의 진화하는 위험을 강조합니다. 숙련된 개발자조차도 잘 숨겨진 위협의 희생양이 될 수 있습니다. 사이버 보안 전문가는 다음을 권장합니다.
-
상업용 엔드포인트 보호 사용.
-
확장 프로그램 작성자를 엄격하게 확인하고 예기치 않은 동작을 면밀히 조사합니다.
-
다운로드한 소스 코드에서 이상 징후를 검사합니다.
-
확장 프로그램을 설치할 때, 특히 인위적으로 부풀려진 다운로드 횟수 또는 의심스러운 업데이트 기록이 있는 확장 프로그램에 대해 극도의 주의를 기울입니다.
출처
-
해커, AI 확장 프로그램을 무기화하여 50만 달러 상당의 암호화폐 자산 도난, CyberSecurityNews.
-
Cursor용 가짜 Visual Studio Code 확장 프로그램으로 50만 달러 도난, SC Media.
-
해커, 악성 AI 브라우저 확장 프로그램을 사용하여 50만 달러 상당의 암호화폐 도난, Cyber Press.
-
해커가 무기화된 AI 확장 프로그램을 사용하여 50만 달러 상당의 암호화폐 강탈, GBHackers News.
이 기사는 AI 기반 기술의 지원을 받아 여러 신뢰할 수 있는 출처를 바탕으로 작성되었습니다. 최종 콘텐츠는 BlockzHub 편집팀에 의해 철저히 검토 및 편집되어 정확성, 명확성, 일관성을 보장합니다. 원본 보도 자료는 필요에 따라 적절히 출처를 명시합니다. 본 기사에 표현된 의견은 반드시 BlockzHub의 공식적인 견해나 입장을 반영하는 것은 아닙니다. 이 기사는 정보 제공 목적으로만 제공되며, 금융 또는 전문가의 조언으로 간주되어서는 안 됩니다. 투자는 위험을 수반하며, 투자 결정을 내리기 전에 반드시 자격을 갖춘 금융 전문가와 상담하시기 바랍니다.