최근 한 개발자가 원격 근무 채용 과제를 받았다가, 그 뒤에 숨겨진 심각한 사이버 위협을 발견하며 충격을 주고 있습니다. 겉보기에는 평범한 코딩 과제였지만, 프로젝트 저장소(repository) 내에 악성 Git 훅(hook) 스크립트가 은밀하게 삽입되어 있었고, 이를 통해 구직자의 컴퓨터에 악성 페이로드(payload)가 설치되도록 설계된 것으로 드러났습니다.
이 공격은 Y Combinator 스타트업을 사칭한 채용 담당자의 링크드인(LinkedIn) 메시지에서 시작되었습니다. 개발자는 월 1만~1만 5천 달러라는 파격적인 급여 제안에 의심을 품었지만, 일단 과제를 받아 진행했습니다. 구글 드라이브(Google Drive)로 전달된 압축 파일에는 파이썬(Python) 기반의 웹 애플리케이션 코드가 들어있었고, 겉으로는 아무 문제가 없어 보였습니다. 그러나 개발자가 숨겨진 파일들을 확인하는 과정에서 '.git/hooks' 디렉토리에 다수의 Git 훅이 미리 설정되어 있음을 발견했습니다. 특히 'pre-commit' 스크립트에는 운영체제(OS)를 감지하여 특정 IP 주소에서 악성 스크립트를 다운로드하고 실행하는 코드가 포함되어 있었습니다. 이 스크립트는 'tokenlinux.sh'라는 이름으로 사용자 홈 디렉터리에 숨겨져 백그라운드에서 지속적으로 실행되며, 추가적으로 'parser.js'와 'package.json' 파일을 다운로드하여 민감 정보를 탈취하려는 시도를 했습니다.
이번 사건은 채용 과정을 악용하는 사이버 공격이 얼마나 정교해지고 있는지를 보여주는 경고등입니다. 구직자들은 매력적인 제안에 현혹되기 쉽고, 채용 과제는 개발 환경 설정을 요구하는 경우가 많아 악성코드 침투에 취약할 수 있습니다. 특히 원격 근무가 확산되면서 비대면 채용이 늘고 있어, 검증되지 않은 소스코드나 외부 링크를 실행할 때는 더욱 신중해야 합니다. 기업과 개인 모두 채용 과정에서 의심스러운 활동이나 비정상적인 요구사항에 대해 경각심을 가지고, 보안 수칙을 철저히 준수하는 것이 중요합니다.