공개 PoC 코드의 의존성을 바꿔 보안 연구자의 실행 단계에서 악성코드를 돌리는 공급망 공격을, AI가 해석하는 자동 탐지 시스템으로 겨냥한 발표가 나왔다. 데이터 인텔리전스 기업 에스투더블유(S2W, 488280) 통합분석실의 김지호 책임연구원은 스페인 세비야에서 14일부터 16일까지 열린 글로벌 보안 콘퍼런스 VB2026(Virus Bulletin 2026)의 마지막 날인 16일 단상에 올랐다.
공개 PoC를 복제해 의존성을 바꾸는 공격
PoC는 취약점 존재를 확인하거나 기술 구현 가능성을 검증하는 개념증명 코드다. 김 책임연구원이 소개한 공격에서 공격자는 공개된 PoC 코드를 복제한 뒤 의존성 설정과 보조 코드를 변조한다. 연구자가 이 코드를 실행하면 숨겨져 있던 악성 네이티브 확장 모듈이 동작하는 방식이다.
공격자가 정상적인 소프트웨어나 공개 코드를 변조해 악성 프로그램을 퍼뜨리면, 이를 사용하는 개발자와 보안 연구자도 공격 대상이 될 수 있다. 소프트웨어 공급망 공격이 개발·보안 연구 과정까지 침투하면서 탐지와 대응 방식의 변화가 요구되고 있다.
김 책임연구원은 “소프트웨어 공급망 공격은 이제 보안 연구자가 일상적으로 수행하는 취약점 검증 과정까지 공격 경로로 악용할 만큼 정교해지고 있다”고 말했다.
패키지·의존성·네이티브 모듈을 자동 분석하고 AI가 증거를 해석
이번 발표에서는 AI 기반 악성 패키지 탐지 시스템도 소개됐다. 이 시스템은 패키지 정보, 의존성 구조, 네이티브 확장 모듈에서 나타나는 이상 징후를 자동으로 분석한다. 위험도가 높은 사례에서는 AI가 증거를 해석하는 단계가 더해진다.
연구자가 PoC를 실행하기 전에 패키지 구성과 의존성의 의심 요소를 확인해 악성코드 감염 가능성을 낮추는 데 활용할 수 있도록 했다. 소프트웨어 공급망 공격에 대응하려면 실행 파일이나 알려진 악성코드를 검사하는 데서 나아가 외부 패키지와 의존성 구조까지 살펴볼 필요가 있다.
6년 연속 VB 발표, 이어지는 연구 주제
S2W는 2021년부터 올해까지 6년 연속 VB 컨퍼런스에서 발표했다. 이 행사를 1991년부터 열어 온 곳은 영국의 보안 정보·테스트·인증 전문기관 바이러스 불러틴(Virus Bulletin)이다. S2W가 앞서 다룬 주제는 북한 연계 해킹 조직의 전략 변화, 딥웹·다크웹 위협 행위자 추적, 모바일 악성 앱 분석 등이다.
S2W는 2018년 9월 설립됐고, 2023년 세계경제포럼(WEF)이 선정하는 ‘100대 기술 선도기업’에 이름을 올렸다. 공공·정부기관용 안보 AI 플랫폼 자비스(XARVIS), 기업·기관용 보안 AI 솔루션 퀘이사(QUAXAR) 등을 운영한다. 인터폴(INTERPOL)의 ‘게이트웨이 이니셔티브’에는 한국 파트너로 참여하고 있으며, 마이크로소프트·오픈AI 등 글로벌 기술기업과 협력한다.
김 책임연구원은 “앞으로도 실제 공격 사례에 대한 심층 분석과 AI 기반 탐지 기술 연구를 이어가며 새로운 공격 기법을 빠르게 식별하고 실질적인 대응 역량을 높이는 데 기여하겠다”고 밝혔다. S2W는 실제 공격 사례 연구와 AI 기반 분석 기술 고도화를 계획하고 있다.