C2Looper란 무엇인가: HTTP와 GitHub를 악용하는 러스트 기반 윈도우 백도어

C2Looper는 공격자에게 원격 명령 실행, 감염 호스트 정찰, 파일 다운로드, 추가 페이로드 배포 기능을 제공하는 러스트(Rust) 기반 윈도우 백도어다. Zscaler ThreatLabz는 2026년 7월 이 악성코드군을 처음 식별했으며, 랜섬웨어와 연관된 위협 행위자가 사용했을 가능성이 있다고 평가했다. 다만 이는 확정적인 공격자 귀속이 아니며, 추정되는 유포 경로 역시 신뢰도가 낮음에서 중간 수준으로 평가됐다.

C2Looper가 주목받는 이유는 통신 방식이 기존의 평문 HTTP 기반 명령·제어(C2)에서 GitHub 저장소 기반 구조로 바뀌었다는 점이다. 따라서 방어팀은 초기 샘플에서 나타나는 규칙적인 HTTP 비콘과 최신 버전의 저장소 기반 JSON 작업 지시라는 서로 다른 행동을 함께 살펴봐야 한다.

랜섬웨어 방어 관점에서 C2Looper가 중요한 이유

C2Looper 자체가 파일을 암호화하는 랜섬웨어인 것은 아니다. 오히려 침해 초기 또는 준비 단계에서 공격자가 원격 셸을 확보하고 호스트를 조사한 뒤, 다른 도구와 페이로드를 투입할 수 있도록 돕는 접근 브로커형 백도어에 가깝다. 이런 기능은 공격자가 지속성을 확보하고 내부망으로 이동한 뒤, 후속 랜섬웨어 공격을 준비하는 데 활용될 수 있다.

현재 공개된 자료만으로는 특정 랜섬웨어 조직과의 확정적인 연결이 확인되지 않았다. 다른 악성코드 인프라와의 유사성 역시 공동 개발자나 동일한 운영 주체를 입증하는 증거가 아니라, 추가 조사가 필요한 단서로 봐야 한다.

C2Looper의 두 가지 버전은 어떻게 작동하나

구형 버전: 평문 HTTP로 명령을 주고받는다

초기 샘플은 공격자가 통제하는 서버와 평문 HTTP로 통신하며, JSON 형식의 작업 지시를 받는다. 보고된 샘플은 약 1초 간격으로 매우 자주 서버를 폴링한 것으로 나타나, 엔드포인트나 네트워크에서 비교적 뚜렷한 행동 패턴을 만들 수 있다.

감염 호스트를 식별하기 위해 전송하는 비콘에는 다음과 같은 정보가 포함된다.

• 윈도우 사용자 이름
• DNS 호스트명
• 실행 중인 C2Looper 프로세스 ID
• 호스트명과 사용자 이름을 조합해 만든 봇 식별자

비콘은 /api/beacon 경로로 전송되고, 명령 실행 결과는 /api/result/ 경로를 통해 보고된다.

구형 버전이 지원하는 명령은 공격자에게 감염 시스템을 실질적으로 제어할 수 있는 수단을 제공한다.

• 임의의 셸 또는 시스템 명령 실행
• 호스트 정보 및 시스템 환경 정찰
• 파일 다운로드
• 백도어 업데이트와 추가 페이로드 배포

특히 upload 명령을 이용한 업데이트 방식이 눈에 띈다. C2Looper는 공격자가 지정한 URL에서 휴대용 실행 파일을 내려받은 뒤, 이를 사용자의 로컬 OneDrive 디렉터리에 DLL로 저장할 수 있다. 보고된 샘플에서는 %LocalAppData%\\Microsoft\\OneDrive 경로에 wtsapi32.dll이라는 이름으로 파일을 배치했다. 이후 OneDrive 프로세스를 종료하고, 정상적인 OneDrive 실행 파일이 해당 DLL을 로드하도록 유도한다.

이는 신뢰할 수 있는 정상 프로그램 옆에 악성 라이브러리를 배치한 뒤, 해당 프로그램의 일반적인 라이브러리 로딩 동작을 악용하는 DLL 사이드로딩 기법이다. 따라서 방어팀은 단순히 시스템에 OneDrive가 설치되어 있는지를 보는 데 그치지 말고, 정상 OneDrive 바이너리가 예상 밖의 DLL을 사용자 쓰기 가능 경로에서 불러오는지 확인해야 한다.

구형 샘플의 회피 기법

C2Looper는 문자열을 실행 시점에 XOR 방식으로 복호화하며, 동일한 8바이트 키를 재사용한 것으로 보고됐다. 또한 LoadLibrary와 GetProcAddress를 이용해 윈도우 API를 동적으로 확인한다. 이런 기법은 단순한 정적 분석만으로는 악성 행위를 파악하기 어렵게 만들 수 있어, 엔드포인트 탐지·대응(EDR) 시스템의 프로세스·메모리·네트워크 텔레메트리의 중요성을 높인다.

최신 버전: GitHub 저장소를 C2 인프라로 활용

새로운 C2Looper 빌드는 전통적인 공격자 전용 C2 서버 대신 GitHub 저장소를 사용한다. 보고된 최신 변형에서는 저장소가 명령 전달, 비콘 기록, 명령 실행 결과 수집 및 페이로드 관련 데이터 처리에 활용된다.

감염된 호스트마다 저장소 안에 별도의 디렉터리가 할당된다. 악성코드는 해당 디렉터리의 cmd.json 파일에서 지시를 읽고, 명령을 실행한 뒤 결과를 같은 위치의 result.json 파일에 기록한다. 공격자는 이 단순한 파일 기반 흐름을 통해 전용 C2 서버를 별도로 운영하지 않고도 명령을 내리고 결과를 수집할 수 있다.

GitHub는 개발자와 기업이 정상적으로 사용하는 서비스이기 때문에, 도메인 차단만으로는 대응하기 어렵다. 핵심은 행동 분석이다. 개발이나 CI/CD 업무와 관련이 없는 엔드포인트가 GitHub 저장소 또는 API에 주기적으로 접근하는지, 특히 호스트별 JSON 파일을 반복해서 읽고 쓰는지 조사해야 한다.

HTTP에서 GitHub로 C2를 옮긴 점과 최신 샘플에서 보고된 추가 페이로드 실행 기능은 C2Looper가 현재도 개발이 진행 중인 위협임을 시사한다.

ClickFix를 통한 유포 가능성

ThreatLabz는 C2Looper가 다단계 ClickFix 감염 체인을 통해 유포됐을 가능성을 낮음에서 중간 수준의 신뢰도로 평가했다. ClickFix는 사용자가 가짜 인증 안내, 브라우저 오류, CAPTCHA 또는 시스템 복구 메시지를 보게 한 뒤, 문제를 해결한다는 명목으로 PowerShell이나 윈도우 실행 대화상자 등에 명령을 복사해 실행하도록 유도하는 사회공학 기법이다.

이 방식에서는 사용자의 행동이 중요한 탐지·차단 지점이 된다. 웹사이트나 브라우저가 인증이나 오류 해결을 위해 PowerShell, 터미널 또는 실행 창에 명령을 붙여넣으라고 요구한다면 정상적인 절차로 봐서는 안 된다.

관련 보고서는 더 넓은 사회공학 생태계에서 Teams 기반 음성 피싱과 Quick Assist 악용 사례도 다루고 있다. 그러나 제공된 근거만으로 이들 캠페인이 모두 C2Looper를 유포했다고 단정할 수는 없다. 따라서 해당 사례와의 겹침은 가능한 맥락으로 참고하되, 확정된 캠페인 귀속으로 해석해서는 안 된다.

방어팀이 우선 모니터링할 항목

특정 도구나 서비스를 무조건 차단하기보다, 다음과 같은 고위험 행동을 여러 신호와 결합해 탐지하는 편이 효과적이다.

• 빈번한 평문 HTTP 비콘: 새로 발견됐거나 의심스러운 프로세스가 /api/beacon, /api/result/와 유사한 경로로 매우 규칙적인 JSON POST 요청을 보내는지 확인한다.
• 비정상적인 GitHub 활동: 개발 업무와 무관한 엔드포인트가 GitHub 저장소나 API에 주기적으로 접근하는지 조사한다. 특히 호스트별 디렉터리에서 cmd.json과 result.json이 반복적으로 사용되는지 살펴본다. GitHub 전체를 일괄 차단하기보다는 정상적인 개발·자동화 사용을 구분해야 한다.
• OneDrive DLL 사이드로딩: 정상 OneDrive 실행 파일이 사용자 프로필 아래의 이례적인 경로에서 실행되거나, 인접한 쓰기 가능 디렉터리의 DLL을 로드하거나, 비정상적인 자식 프로세스를 생성하는 경우 경고를 발생시킨다.
• 명령 실행과 시스템 정찰: EDR 텔레메트리로 의심스러운 PowerShell, cmd.exe, 실행 대화상자 명령, 시스템 정보 수집, 단계적 파일 다운로드, 새로 확인된 바이너리에서의 셸 실행을 추적한다.
• 러스트 기반 임플란트의 복합 행동: 동적 API 확인, 암호화된 문자열, 반복적인 네트워크 폴링, 추가 페이로드 배포를 하나의 행동 패턴으로 묶어 분석한다. 단일 파일 특성만으로 탐지하려 해서는 안 된다.

예방을 위한 우선순위

기술적 통제만으로는 충분하지 않다. 조직은 사용자 실행 PowerShell, 스크립트 호스트, 서명되지 않은 바이너리, 사용자 쓰기 가능 디렉터리에서의 실행을 업무상 필요한 범위 안에서 제한하거나 관리해야 한다. 애플리케이션 허용 목록을 적용하면 내려받은 페이로드가 실행되는 것을 추가로 줄일 수 있다.

직원과 헬프데스크 담당자에게는 웹사이트, CAPTCHA, 브라우저 오류 페이지 또는 예고 없이 연락해 온 지원 담당자가 제공하는 명령을 절대 붙여넣지 않도록 교육해야 한다. 원격 지원 도구는 승인된 절차와 검증된 지원 채널, 강력한 인증, 세션 기록, 비정상 세션에 대한 신속한 검토를 전제로 사용해야 한다.

네트워크 분할, 최소 권한, 다중 인증, 인터넷 노출 시스템의 신속한 패치, 오프라인 또는 변경 불가 백업을 함께 적용하면 C2Looper가 침투 거점을 확보했을 때 피해를 제한할 수 있다. 의심스러운 비콘, 셸 활동 또는 DLL 사이드로딩이 확인된 엔드포인트는 즉시 격리하고, 조사에 필요한 엔드포인트 로그와 네트워크 기록, 필요할 경우 메모리 자료를 보존해야 한다.

결론

C2Looper의 핵심적인 변화는 단순한 평문 HTTP 백도어에서 GitHub 저장소를 운영 인프라로 활용하는 유연한 임플란트로 발전했다는 점이다. 원격 셸, 정찰, 파일 다운로드와 업데이트 기능은 랜섬웨어 관련 침입에서 유용한 초기 거점을 제공할 수 있다. 다만 현재 근거는 신중한 가능성 평가를 뒷받침할 뿐, 특정 조직에 대한 확정적인 귀속을 의미하지는 않는다.

가장 현실적인 방어 전략은 ClickFix에 속지 않도록 사용자 절차를 정비하는 동시에, 비정상적인 명령 실행, OneDrive DLL 사이드로딩, 빠른 HTTP 폴링, 설명되지 않는 GitHub 저장소 활동을 행동 기반으로 탐지하는 것이다.