북한 정부와 연계된 해킹 그룹 Jade Sleet이 인도의 IT 서비스 업체 개발자 PC를 침해해 FLATROOF·ROOFDECK이라는 두 가지 백도어(몰래 숨어 명령을 받는 악성 프로그램)를 심었습니다. 공격자들은 채용 면접을 가장한 함정 방식으로 접근해, 개발자가 깃허브 저장소에 있는 코딩 과제를 실행하면 인프라 관리 도구인 Terraform이 악성 서버에서 모듈을 자동으로 내려받도록 조작했습니다. FLATROOF는 텔레그램을 통해 명령을 받고 브라우저 저장 데이터·비밀번호 등을 훔치며, ROOFDECK은 탈중앙화 통신 프로토콜인 Nostr를 써서 원격 제어·내부망 이동까지 수행합니다. 이 그룹은 2025년 초 Bybit 거래소에서 약 15억 달러를 탈취한 것과도 연결되어 있어 위협 수위가 매우 높습니다. 개발자 PC가 클라우드·소스코드·CI/CD 파이프라인에 연결되어 있어 공급망 전체가 위험해질 수 있으므로 즉각적인 대응이 필요합니다.
북한 연계 APT 그룹 Jade Sleet이 인도 IT 서비스 업체 DevOps 엔지니어의 Apple Silicon MacBook을 침해해 macOS 전용 백도어 FLATROOF와 ROOFDECK을 배포했다. 백도어는 2026년 3월 18일부터 탐지됐으며, 같은 악성코드가 KelpDAO LayerZero 브리지 해킹(2026년 3·4월)에도 사용됐다.
개발자 PC를 통해 클라우드 인프라·소스코드·CI/CD 파이프라인이 통째로 노출될 수 있다. FLATROOF는 브라우저 자격증명·keychain-db·터미널 히스토리를 탈취하고, ROOFDECK은 내부망 측면 이동 및 지속 은닉(Launch Agent)까지 수행한다. Jade Sleet은 2025년 Bybit에서 15억 달러 탈취에도 연루되어 있다.
채용 면접 위장 소셜엔지니어링으로 개발자를 유인한 뒤, 악성 Terraform 의존성 잠금 파일(.terraform.lock.hcl)을 통해 'terraform init' 실행 시 공격자 제어 서버에서 모듈이 자동 다운로드되도록 조작했다.
SentinelOne이 분석 내용을 공개했으며, ROOFDECK은 4월 20일 업데이트 버전이 배포돼 기호·디버그 정보를 제거해 탐지 회피를 강화했다. 기업은 개발자 엔드포인트 EDR 강화 및 Terraform 레지스트리 도메인 검증이 필요하다.
개발자가 외부 코딩 과제·기술 과제를 수행할 때 Terraform 레지스트리 URL(registry.hashicorp-aws[.]com 등 유사 도메인)을 반드시 검증해야 한다. ARM 기반 macOS 개발자 장비에 대한 EDR 모니터링과 Launch Agent 무결성 점검을 즉시 시행해야 한다.
본문
Ravie Lakshmanan 2026년 9월 21일 | 악성코드 / 소셜 엔지니어링
Jade Sleet으로 알려진 북한 위협 행위자가 정보기술(IT) 서비스 산업에 종사하는 인도 소재 "훨씬 규모가 작은 조직"의 침해에 연루된 것으로 밝혀졌다. 이 사건은 해당 위협 행위자가 표적 네트워크를 침해하기 위해 개발자를 계속해서 겨냥하고 있음을 다시 한번 보여준다.
해당 활동의 세부 내용을 공개한 사이버보안 기업 SentinelOne에 따르면, 이번 공격에는 FLATROOF(Gaslight라고도 불림)와 ROOFDECK이라는 Apple macOS 백도어가 사용됐다. 두 백도어 모두 2026년 3~4월 KelpDAO의 LayerZero 브리지 공격에서 이미 관찰된 바 있다.
PUKCHONG, Slow Pisces, TraderTraitor, UNC4899 등의 명칭으로도 추적되는 Jade Sleet은 암호화폐 탈취를 목적으로 Web3 분야를 표적으로 삼아온 이력이 있다. 2025년 초에는 Safe{Wallet} 개발자 환경에 대한 공급망 침해를 통해 Bybit의 콜드월렛 인프라에서 약 15억 달러를 탈취한 사건에 이 해킹 그룹이 연루된 것으로 밝혀졌다.
Microsoft 산하 GitHub는 2023년 7월 "Jade Sleet은 주로 암호화폐 및 기타 블록체인 관련 조직과 연계된 사용자를 표적으로 삼지만, 해당 기업들이 이용하는 벤더사도 겨냥한다"고 언급한 바 있다.
SentinelOne은 이번 캠페인이 채용 면접 미끼를 활용한 소셜 엔지니어링 수법을 사용한다고 밝혔다. 이는 여러 북한 위협 행위자들이 즐겨 채택하는 전술로, 공격 과정에서 침해된 기업에서 구직 활동을 하는 이들을 표적으로 삼는다. 표적이 된 개인들은 DevOps, 암호화폐, 또는 핀테크 분야 종사자인 것으로 확인됐다.
보안 연구원 Albert Priego, Alex Delamotte, Matej Havranek은 "코딩 프로젝트 미끼로 활용되는 GitHub 저장소 테마는 북한 행위자들이 사칭하는 기업과 관련된 인프라 엔지니어링 프로젝트로 구성되어 있다"고 설명했다.
관찰된 저장소 중 일부는 다음과 같다:
- gtn-candidate-repo (KelpDAO 사건에서 사용됨)
- Northwind-IAC
- novacart-interview
- terraform-candidate-repo
저장소에는 악성 도메인(예: "registry.hashicorp-aws[.]com")을 가리키는 무기화된 Terraform 의존성 잠금 파일(".terraform.lock.hcl")이 포함되어 있다. 이 파일은 아무것도 모르는 개발자가 "terraform init" 명령어를 실행할 때 플랫폼이 공격자 제어 모듈을 다운로드하도록 유도한다.
공격 체인의 최종 단계에서는 ARM 기반 macOS 시스템을 표적으로 하는 두 가지 Rust 기반 악성코드 계열이 배포된다:
- FLATROOF: 명령 및 제어(C2)에 텔레그램을 사용하는 백도어로, 명령 실행, 파일 업로드·다운로드, 그리고 Chrome·Brave·Firefox·Safari 브라우저 데이터, 터미널 명령 히스토리, 설치된 애플리케이션 목록, 시스템 하드웨어 및 소프트웨어 프로파일, 실행 중인 프로세스 스냅샷, login.keychain-db 사본을 수집하는 Python 모듈을 통한 데이터 탈취가 가능함
- ROOFDECK: 탈중앙화 C2를 위해 Nostr 프로토콜을 사용하는 백도어로, 시스템 정찰, 파일 조작, 원격 셸 접근, 내부망 측면 이동(lateral movement), Launch Agent를 통한 지속성 확보가 가능함
SentinelOne은 "ROOFDECK 명령은 운영자의 개인 키로 서명되며, 실행 전 내장된 공개 키를 사용해 무결성이 검증된다. 명령 기능은 소스 코드 내에서 별도의 핸들러로 분리되어 있다"고 설명했다.
"이 임플란트는 디렉터리 및 파일 작업과 관련된 다수의 일반적인 셸 명령을 재구현하는데, 이는 Lazarus의 LightlessCan을 포함한 보다 정교한 북한 연계 툴셋에서 자주 사용되는 전술이다."
이 사이버보안 기업은 두 백도어를 추적하는 과정에서 연관성이 없는 추가 피해자를 발견했다고 밝혔다. 피해자는 인도에 소재한 IT 서비스 업체로, DevOps 엔지니어의 Apple Silicon MacBook을 통해 침해됐다. 백도어는 2026년 3월 18일에 처음 탐지됐지만, 현재 단계에서 정확한 침투 경로는 알 수 없다.
연구원들은 "백도어는 3월 29일까지 휴면 상태를 유지하다가 그날부터 비컨 신호 및 호스트 활동이 시작됐다"고 밝혔다. "임플란트는 3월 29일 cloudshield 워크스페이스(~/DevOps-Automation/cloudshield)가 열린 지 몇 초 만에 Cursor에 의해 처음 실행됐다."
증거에 따르면 ROOFDECK은 초기 거점 및 제어권 확보 이후 침해된 호스트에 후속 도구로 배포된다. 또한 LayerZero가 KelpDAO 해킹을 공개적으로 인정한 하루 뒤인 2026년 4월 20일, ROOFDECK의 업데이트 버전이 해당 DevOps 엔지니어의 시스템에 배포된 것으로 알려졌다.
새로운 변종은 기존 ROOFDECK 및 FLATROOF 바이너리를 제거하는 것 외에도, 탐지 우회를 위해 심볼 및 디버그 정보를 삭제한다.
SentinelOne은 "이들 그룹의 초기 접근 시도는 제3자 및 소프트웨어 공급망을 표적으로 삼는 방식을 포함하며, 이 부분이 업계의 노출이 가장 많이 집중된 곳으로 개발자 엔드포인트가 방어의 중심에 놓이게 된다"고 밝혔다.
"개발에 사용되는 엔드포인트는 클라우드, 파이프라인, 소스 코드에 대한 접근 권한을 보유하고 있어 모니터링 및 보호가 조직의 최우선 과제가 된다. 이번 캠페인은 한 번에 엔지니어 한 명을 표적으로 하는 맞춤형 개발 환경을 활용하며, 피해자마다 다르게 제작된 백도어가 심긴 Terraform 빌드와 결합되어 있다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
