신형 악성코드 ‘EtherRAT’…북한 ‘컨테이저스 인터뷰’ 캠페인과 유사
Node.js 활용 방식 진화…라자루스 등 북한 해커 전술 고도화 징후

[보안뉴스 여이레 기자] 최근 공개된 ‘리액트2쉘’(React2Shell·CVE-2025-55182) 취약점을 악용한 공격 중 일부가 북한 연계 해킹그룹의 소행이라는 정황이 포착됐다.


[자료: 생성형 AI 이미지]

리액트2쉘은 오픈소스 UI 프레임워크인 ‘리액트’(React) 버전 19에서 발견된 인증되지 않은 원격 코드 실행(RCE) 취약점으로, 공격자가 사용자 개입 없이 서버 측에서 임의 명령을 실행할 수 있게 만든다.

이 취약점은 리액트뿐 아니라 넥스트.js(Next.js), Waku, React Router, RedwoodSDK 등도 리액트에 의존하는 다른 프레임워크에도 영향을 미친다. 비영리 사이버 보안 단체 쉐도우 서버 파운데이션은 이미 전 세계 약 7만여 개의 시스템이 해당 결함에 노출된 것으로 추산했다.

이 취약점은 3일(현지시간) 공개 직후 실제 공격에 활용되기 시작했으며, 초기엔 중국 연계 위협그룹이 먼저 악용한 정황이 포착됐다. 이후 AWS 인증정보 탈취, 봇넷 구축, 암호화폐 채굴 악성코드 유포 등 다양한 형태의 공격으로 확산됐다.

사이버보안 기업 시스딕(Sysdig)은 9일 리액트2쉘 취약점을 겨냥한 EtherRAT 공격을 포착했다. 분석 결과, EtherRAT 공격은 ‘컨테이저스 인터뷰’(Contagious Interview)로 알려진 북한 연계 캠페인과의 유사점이 발견됐다. 이 캠페인은 암호화폐 및 블록체인 기술 종사자를 대상으로 가짜 채용 인터뷰를 통해 악성코드를 유포하고 암호화폐를 탈취하는 것이 목적이었다.

EtherRAT은 리액트2쉘 취약점을 악용해 셸 스크립트를 다운로드 및 실행하는 명령을 수행하도록 설계됐다. 이 스크립트는 자바스크립트 기반 임플란트를 배포하며, 이 임플란트는 암호화된 메인 페이로드인 EtherRAT을 해독·로드하는 드로퍼 역할을 한다.

시스딕 측은 “EtherRAT에서 사용된 암호화된 로더 패턴은 북한 해킹그룹이 ‘컨테이저스 인터뷰’ 캠페인에서 사용한 비버테일(BeaverTail) 악성코드와 매우 유사하다”고 설명했다.

이어 “지금까지 라자루스 등 북한 연계 위협그룹은 Node.js를 페이로드와 함께 번들링하는 방식을 사용했지만, EtherRAT은 공식 배포처(nodejs.org)에서 Node.js를 직접 다운로드한다”며 “이는 탐지 위험을 줄이기 위해 페이로드 크기를 줄이는 새로운 전술적 진화를 보여준다”고 경고했다.

다만 시스딕은 북한이 아닌 다른 해킹그룹의 개입 가능성도 열어두고 있다. 시스딕 측은 “여러 공격 캠페인의 기술을 혼합해 추적을 교란시키는 제3의 고도화된 해킹그룹이 개입했을 가능성도 있다”고 했다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>