✅ 보고서 제목: PoC 위장 공격: 공격으로 돌변한 PoC

*본 분석 보고서는 Virus Bulletin 2026(VB2026)에서 발표되었습니다.

✅ 보고서 요약:

• S2W TALON은 변조된 GitHub PoC와 악성 PyPI 패키지를 통해 보안 연구자를 표적으로 한 소프트웨어 공급망 공격 캠페인인 Operation FalseProof를 확인했습니다.
• 이 캠페인은 SporeDrop, MeridianSpy, CoDawnloader를 사용했으며, MeridianSpy는 Mapbox Datasets API를 명령 제어(C2)에 악용했습니다.
• S2W는 이 활동을 UNSI-022로 추적하고 있으며, 중국어권 위협 행위자와의 연관 가능성을 낮은 신뢰도로 평가하고 있습니다.
• 이 캠페인은 보안 연구 워크플로우 자체가 소프트웨어 공급망 공격의 표면이 되었음을 보여줍니다.

📌 주요 시사점

• (연구자 표적형 공급망 공격의 이해) Operation FalseProof가 복제된 취약점 PoC를 GitHub을 통해 배포하고, 의존성 체인에 악성 PyPI 패키지를 삽입함으로써 보안 연구자를 어떻게 표적으로 삼았는지 살펴봅니다.
• (악성코드 실행 체인에 대한 인사이트) 이 캠페인이 Python의 네이티브 임포트 우선순위와 상황 인식 기반 실행을 악용해 SporeDrop, MeridianSpy, CoDawnloader를 전달하면서도 원본 PoC에 대한 가시적인 변경을 최소화한 방식을 이해합니다.
• (UNSI-022 추적 및 귀속 신호 평가) S2W가 UNSI-022로 추적하는 활동과, SM3 사용 및 UAT-6382 캠페인과의 유사성을 검토합니다. 이러한 발견은 중국어권 위협 행위자와의 연관 가능성을 시사하지만, 코드 재사용 및 의도적인 false flag 가능성으로 인해 귀속 평가는 낮은 신뢰도로 유지됩니다.
• (선제적 PyPI 공급망 방어 구축) 패키지 메타데이터, 의존성 관계, 아카이브 구조, 네이티브 확장 모듈, 샌드박스 동작을 분석해 설치 전 의심스러운 PyPI 패키지를 식별하는 AI 기반 탐지 시스템을 살펴봅니다.