GitHub Actions 러너를 봇넷으로: cPanel 제로데이 악용 대규모 캠페인

583개의 악성 워크플로 파일

공격의 핵심은 PHP 코드 자체에 있지 않았습니다. PHP 라이브러리 자체는 설치 후크나 악성 네트워크 활동 없이 양호한 상태를 유지했습니다 . 대신 공격자들은 개발자의 소스 저장소에 583개의 악성 GitHub Actions 워크플로 파일(.github/workflows/*.yml)을 주입했습니다. 영향을 받은 각 패키지 버전에는 55~62개의 워크플로 파일이 포함되어 있었습니다 . GitHub Actions 워크플로는 테스트 실행이나 코드 배포와 같은 자동화된 작업을 정의하는 YAML 파일입니다. 공격자들은 이 합법적인 자동화 인프라를 다른 목적으로 전용했습니다.

악성 메커니즘

탈취된 저장소의 포크나 복사본이 워크플로를 트리거하면(예: push 이벤트), 악성 .yml 파일은 GitHub 호스팅 Ubuntu 러너에게 다음 작업을 지시했습니다 :

1. 러너의 CPU 아키텍처를 감지합니다.
2. IP 주소 43[.]228[.]157[.]68에 있는 명령 및 제어(C2) 서버에서 스캐닝 및 악용 페이로드를 다운로드합니다.
3. cPanel 및 WHM 서비스를 실행하는 시스템을 인터넷에서 스캔합니다.
4. 아래에 설명된 취약점을 사용하여 식별된 시스템을 자동으로 악용합니다.
5. 탈취된 데이터를 C2 서버로 유출합니다.

이를 통해 트리거된 모든 워크플로가 스캐닝 및 악용 노드로 전환되어, GitHub의 무료 인프라를 공격을 위한 분산 플랫폼으로 사용했습니다 .

취약점: CVE-2026-41940

이 캠페인의 표적은 CVE-2026-41940로, cPanel 및 WebHost Manager(WHM)의 치명적인 취약점입니다 .

• 유형: 사전 인증 인증 우회 .
• 심각도: CVSS 9.8 (치명적) .
• 근본 원인: cpsrvd 기본 인증 핸들러의 CRLF(캐리지 리턴 라인 피드) 주입 취약점 . 인증되지 않은 공격자는 원시 줄 바꿈 문자를 포함하는 조작된 Authorization 헤더를 보낼 수 있습니다. 이를 통해 user=root 및 hasroot=1과 같은 임의 속성을 세션 파일에 주입하여 유효한 비밀번호 없이 WHM 인터페이스에 대한 루트 수준의 관리 액세스 권한을 효과적으로 부여받을 수 있습니다 .
• 패치 발표일: cPanel은 2026년 4월 28일에 보안 업데이트를 출시했습니다 . 이는 공격자들이 이 캠페인을 시작하기 전에 몇 달 동안 분석할 수 있는 작업 패치를 가지고 있었음을 의미합니다.

무엇이 도난당했는가

영향을 받은 cPanel/WHM 서버에서 악용에 성공하면, 사후 악용 페이로드는 광범위한 자격 증명과 비밀 정보를 수집하도록 설계되었습니다. 주요 표적은 다음과 같습니다 :

• 클라우드 자격 증명: Amazon Web Services(AWS) 키.
• 소스 제어 토큰: GitHub 토큰, GitLab 토큰.
• API 키: OpenAI, Google API 키.
• 결제 처리: Stripe 키.
• 이메일 서비스 자격 증명: (예: Mailgun, SendGrid).
• 인프라: SSH 개인 키, 데이터베이스 자격 증명.
• 구성 데이터: Git 원격 구성.

이처럼 다양한 자격 증명의 도난은 손상된 서버에 존재하는 모든 가치 있는 액세스 토큰을 기회적으로 탈취하려는 데이터 무차별적인 시도를 나타냅니다 .

캠페인 규모: 수천 개의 추가 저장소 손상

10개의 Packagist 패키지에 있는 583개의 워크플로 파일은 초기 발견에 불과했습니다. 공유 DNSHook 콜백 도메인 및 코드 재사용 패턴과 같은 공격자 지표를 기반으로 조사한 결과, 훨씬 더 큰 작업이 드러났습니다 :

• 약 6,100개의 워크플로 파일이 동일한 초기 공격자 인프라와 직접 연결되었습니다 .
• 약 15,000~16,000개의 워크플로 파일이 GitHub 전반에서 캠페인의 관련 패턴과 일치하는 것으로 발견되었습니다 .

이 엄청난 차이는 공격자들이 단일 dinushchathurya 계정을 넘어 훨씬 더 많은 개발자 계정과 저장소를 손상시켰을 가능성이 매우 높음을 강력히 시사합니다 . 이 캠페인은 단일 지점의 실패가 아니라 조정된 다중 계정 작업이었습니다. The Hacker News는 2026년 5월에 관련 악성 요소를 가진 8개의 패키지를 손상시킨 별도의 Packagist 서플라이 체인 공격을 보고하여 , 생태계의 취약성을 더욱 강조했습니다.

지속적인 위험: 캠페인이 여전히 활성화되어 있을 가능성

이 캠페인은 공격자의 인프라가 완전히 무력화되지 않았기 때문에 지속적인 위협이 됩니다. 캠페인은 다음을 통해 계속될 수 있습니다 :

• 포크 및 미러: 악성 워크플로 파일이 손상된 저장소의 포크 또는 미러 복사본에 남아 있을 수 있습니다.
• 캐시된 스냅샷: GitHub 자체 캐시에 악성 워크플로 버전이 포함될 수 있습니다.
• 도난당한 자격 증명: 이미 유출된 자격 증명은 공격자의 손에 남아 있으며 측면 이동이나 향후 공격에 사용될 수 있습니다.
• 생존 C2 인프라: C2 서버(43[.]228[.]157[.]68)는 여전히 작동 중이며 적극적으로 데이터를 수신하고 있을 수 있습니다 .

원래 개발자의 Packagist 계정이 정지되었지만, 일치하는 워크플로 파일의 방대한 규모(최대 ~16,000개)는 완전히 근절하기 어려운 광범위한 작업임을 의미합니다 .

필요한 방어 조치

공개된 분석에 따르면, 조직과 개발자는 즉시 다음 조치를 취해야 합니다 :

1. cPanel/WHM 즉시 패치: CVE-2026-41940은 2026년 4월 28일에 패치되었습니다. 업데이트되지 않은 모든 cPanel 또는 WHM 설치(11.40 이후 버전)는 인증되지 않은 원격 공격자에 의해 사소하게 악용될 수 있습니다. 이것이 가장 중요한 단일 조치입니다.
2. 모든 GitHub Actions 워크플로 감사: 저장소의 모든 워크플로 YAML 파일, 특히 다음을 수행하는 파일을 검토하십시오:
   • 외부 바이너리를 다운로드하고 실행합니다.
   • 아웃바운드 네트워크 연결을 만듭니다.
   • 수동 검토 없이 push 또는 workflow_dispatch 트리거에서 실행됩니다.
   • 패키지 관리자에 의해 자동으로 동기화될 수 있는 개발 또는 기능 브랜치에 있습니다.
3. 노출된 모든 자격 증명 교체: 손상된 cPanel/WHM 서버에 존재하는 모든 자격 증명이 도난당했다고 가정하십시오. 여기에는 다음이 포함되지만 이에 국한되지는 않습니다:
   • 클라우드 제공업체 키(AWS, GCP, Azure).
   • API 토큰(OpenAI, Google, Stripe).
   • SSH 키 및 데이터베이스 비밀번호.
   • 소스 코드 관리 토큰(GitHub, GitLab).
4. 알려진 침해 지표(IOC) 확인: 공격자의 C2 IP 주소(43[.]228[.]157[.]68) 및 알려진 DNSHook 콜백 도메인에 대한 네트워크 연결이 있는지 로그를 검색하십시오 .
5. 저장소 및 패키지 관리 강화:
   • 모든 개발 브랜치에 브랜치 보호 규칙을 활성화하십시오.
   • 서명된 커밋을 요구하십시오.
   • 검토 단계 없이 패키지 레지스트리(예: Packagist)를 저장소 브랜치에서 직접 자동 동기화하지 마십시오 .
6. Packagist 개발 버전 검토: 종속성을 감사할 때 예상치 못한 .github/workflows/ 파일이 있는지 개발 버전(dev-master, dev-main)을 구체적으로 검사하십시오. PHP 코드 자체는 깨끗할 수 있지만 공격은 전적으로 CI/CD 구성에 존재하기 때문입니다 .