Coder 레지스트리 인프라 침해, 자격증명 탈취 악성 모듈 배포

공격자가 Coder의 Cloudflare 인프라를 침해해 무단 레지스트리 서버를 추가했고, 이 서버들은 자격증명 탈취 코드가 삽입된 악성 Terraform 모듈을 배포했다.

Coder 플랫폼은 조직이 개발자에게 소프트웨어 및 AI 애플리케이션의 빌드·배포를 위한 안전한 자체 호스팅 클라우드 개발 환경을 제공할 수 있도록 지원한다.

이 프로젝트는 Dropbox, Palantir, Square, Mercedes-Benz, KKR, EnBW, 미국 정부, 방산 기업 등 저명한 민간·정부 기관에서 사용되고 있다.

이번 주 초, Coder는 공격자가 개발자들이 워크스페이스 템플릿 구성 요소를 받는 패키지 호스팅 사이트인 registry.coder.com을 표적으로 삼았다고 공개했다.

Coder의 레지스트리는 Cloudflare 뒤에서 운영되지만, 공격자는 그 기반 인프라에 접근해 레지스트리 풀에 무단 서버를 추가했다.

그 결과 Cloudflare는 일부 레지스트리 요청을 Coder의 정상 서버가 아닌 공격자의 서버로 라우팅했고, 일부 사용자에게 악성 파일이 전달됐다.

Coder의 보안 공지에는 다음과 같이 명시되어 있다. "신원 미상의 악의적 행위자가 Coder의 Cloudflare 인프라에 접근해 Coder 모듈 레지스트리에 사용되는 풀에 무단 IP 주소를 추가했습니다."

"이 무단 IP 주소들은 악성 코드가 포함된 아티팩트(artifact)가 담긴 Coder 레지스트리 버전을 호스팅했습니다."

Coder는 악성 아티팩트 배포 시간대가 8월 31일 월요일 07:35~21:45 UTC였다고 밝혔다.

이 시간 동안 악성 서버는 컴퓨팅 인프라 생성 및 구성을 위한 즉시 사용 가능한 명령어 묶음인 Terraform 모듈의 변조 버전을 배포했다.

Coder에 따르면, 악성 모듈은 감염된 호스트에서 다음 항목들을 탐색하는 정보 탈취형 악성코드로 동작했다:

• 프로비저너 환경 변수 및 시크릿(secret)
• 클라우드 인프라 및 AI 도구 API 키
• CI/CD(지속적 통합/배포) 자격증명
• 구성 파일 시크릿 및 터미널 히스토리
• 사용자 OIDC(개방형 신원 인증) 토큰
• 설정된 SSH 키
• 일회용 외부 인증 토큰
• 프로비저너가 'coderd' 내에서 실행될 때의 Coder 데이터베이스 비밀번호 및 기타 구성 시크릿

수집된 정보는 유사 도메인 'coder-infra[.]com'으로 유출됐다.

잠재적 피해 가능성이 있는 사용자는 가능한 한 빨리 위 목록에 언급된 모든 시크릿을 교체할 것을 권고한다.

패치 릴리즈(버전 2.37.0, 2.36.4, 2.35.7, 2.34.9)로 업그레이드하기 전에, Coder는 사용자가 방화벽·프록시·DNS·VPC 플로우 로그에서 coder-infra[.]com으로의 연결을 확인할 것을 권장한다.

개발자는 또한 프로비저너 로그에서 data.external.telemetry 항목을 검색하고, 노출 시간대에 다운로드된 모듈을 식별한 뒤, 잠재적으로 악성일 수 있는 캐시된 패키지를 삭제해야 한다.

Coder는 영향 여부를 판단하는 데 도움이 되도록, 잠재적으로 영향 받은 캐시 모듈 및 템플릿 버전을 식별할 수 있는 SQL 쿼리를 공유했다.

프로젝트 측은 리프레시 토큰(refresh token)은 프로비저너에 전달되지 않았으며, Coder가 관리하는 고객 데이터에 영향을 받은 증거는 없다고 밝혔다.

그러나 공격자의 인프라가 Coder의 통제 밖에 있기 때문에, Coder는 핵심 로그에 접근할 수 없으며 피해를 입은 모든 배포를 명확하게 파악할 수 없는 상황이다.