Miasma 웜을 통한 github-actions 사칭 커밋 및 AI 에디터 실행 기반 Payload 주입 사고

Context

전형적인 Git Push 기반의 공급망 공격으로, github-actions 봇을 사칭하여 신뢰 기반의 자동화 워크플로우를 악용함. 특히 AI 기반 IDE(Cursor, Claude Code 등)의 자동 파일 분석 기능이 Payload의 자동 실행 경로로 작동하는 새로운 공격 벡터가 확인됨.

Technical Solution

• github-actions 계정을 위조한 Unsigned/Unverified 커밋을 통해 보안 검토를 우회하는 Spoofing 기법 적용
• .github/setup.js 경로에 4.3MB 규모의 AES 암호화된 Obfuscated Payload를 배치하여 정적 분석 회피
• VS Code, Cursor 등 현대적 AI IDE의 프로젝트 스캐닝 동작을 트리거로 활용한 자동 실행 메커니즘 설계
• npm test 실행 시 함께 구동되도록 하여 개발자 환경의 Credential을 탈취하는 Runtime Injection 전략 채택
• 49초라는 극히 짧은 시간 내에 5개 저장소에 동일 Payload를 배포하는 Automated Worm(Miasma strain) 구조 활용