해커들이 Obsidian 플러그인을 악용해 PHANTOMPULSE 트로이목마를 유포했다

Elastic Security Labs의 발표에 따르면, 공격자들은 벤처 캐피털 회사를 사칭하여 LinkedIn과 Telegram을 통해 대상자가 악성 코드가 포함된 Obsidian 노트 파일을 열도록 유도했습니다. 이번 공격은 Obsidian의 Shell Commands 플러그인을 악용하여, 피해자가 노트 파일을 열 때 취약점을 이용할 필요 없이 악성 페이로드를 실행할 수 있게 했습니다. 이번 공격에서 발견된 PHANTOMPULSE는 이전에 기록된 바 없는 Windows 원격 액세스 트로이목마(RAT)로, 이더리움 거래 데이터를 통해 블록체인 C2 통신을 수행한다. macOS용 페이로드는 난독화된 AppleScript 전달기를 사용하며, 텔레그램 채널을 보조 C2로 활용한다. Elastic Defend는 PHANTOMPULSE가 실행되기 전에 이를 적시에 탐지하여 공격을 차단했다.