악성 클로드 데스크톱 클론이 암호화 지갑 도난용 악성코드를 배포함

• 사이버보안 회사인 Morphisec은 Anthropic의 Claude AI를 가장한 사기성 데스크톱 애플리케이션을 통해 RevStealer 악성코드를 배포하는 악성 활동을 발견했습니다.
• 이 악성코드는 50개 이상의 암호화폐 월렛을 대상으로 하며, 감염된 시스템에서 민감한 브라우저 데이터, 세션 쿠키, 자격 증명 정보를 수집합니다.
• RevStealer는 메모리와 하드웨어에 대한 시스템 검사 등 고도화된 탐지 방지 기법을 사용하여 샌드박스 분석 환경을 피합니다.
• 이 위협은 인기 있는 AI 도구들을 사회공학적 수법으로 활용하여 암호화폐 투자자들에게 금융 악성코드를 전파하는 추세가 점점 더 심해지고 있음을 보여줍니다.
• 연방 당국과 CrowdStrike는 최근에도 Sality 봇넷을 해체했습니다. 이 봇넷은 20년 이상 동안 클립보드를 조작하여 암호화폐를 도용하는 방식을 사용해 왔습니다.

사이버보안 회사인 Morphisec은 “Claude Opus 5 Free Desktop”이라는 이름의 사기성 데스크톱 애플리케이션을 이용한 정교한 악성코드 배포 캠페인을 발견했습니다. 이 악성 소프트웨어는 인기 있는 Claude AI 모델을 개발한 회사인 Anthropic을 위장하여 사용자들이 악성코드를 다운로드하고 설치하도록 속입니다. Anthropic은 Claude 애플리케이션의 무료 데스크톱 버전을 제공하지 않으므로, 이러한 제안은 명백히 악의적인 의도를 나타냅니다. 이 캠페인은 프리미엄 AI 모델에 대한 무료 접근을 원하는 사용자들을 대상으로 하며, 인공지능 도구에 대한 높은 수요를 이용해 정보 탈취용 악성코드를 배포합니다.

Windows 시스템에 설치된 후, RevStealer 악성코드는 감염된 장치를 철저히 스캔합니다. 이 악성코드는 브라우저 데이터베이스, 세션 쿠키, 비밀번호 관리기의 데이터, VPN 설정 정보, 인스턴트 메시징 데이터 등을 공격합니다. 이 악성코드의 중요한 특징은 50가지 이상의 다양한 형태의 암호화폐 지갑에서 데이터를 식별하고 도난하는 능력입니다. 특히 세션 쿠키를 도난하는 것은 매우 위험한데, 이로 인해 공격자들은 두 번째 인증 절차를 무시하고 추가적인 인증 코드를 요구하지 않고 계정을 탈취할 수 있습니다.

RevStealer는 생존을 유지하고 보안 도구의 탐지를 피하기 위해 고급 분석 방지 기능을 갖추고 있습니다. 악성코드는 페이로드를 실행하기 전에 시스템을 점검하여 사용 가능한 메모리, 프로세서 코어 수, 호스트명, 사용자 이름, 그래픽 하드웨어 등을 확인합니다. 또한 샌드박스 환경에서 흔히 발생하는 디버깅 지연 현상도 감시합니다. 만약 어떤 매개변수가 의심스럽거나 정상적인 사용자 장치와 일치하지 않는다면, 악성코드는 작동을 중단합니다. 모든 검사가 통과될 때만 페이로드가 자체적으로 암호화되며, 파일명이 무작위로 변경되어 은밀하게 실행됩니다.

이 캠페인은 카스퍼스키가 오코보트와 관련하여 발표한 내용과 유사합니다. 오코보트는 암호화폐 투자자들을 대상으로 하는 악성코드로, 월렛 파일을 수집하고 악성 브라우저 확장 프로그램을 설치하여 피해를 주는 방식을 사용합니다. 이러한 위협들의 출현은 인기 있는 AI 도구들을 사회공학적 수단으로 활용하여 금융 악성코드를 전파하는 추세가 점점 커지고 있음을 보여줍니다. 연구자들은 사용자들이 소프트웨어의 진위성을 확인하고, 비공식적인 소스에서 AI 애플리케이션을 다운로드하지 않도록 해야 한다고 강조합니다. 특히 무료 프리미엄 버전이나 불법 버전을 제공한다는 내용의 소프트웨어는 피해야 합니다.

RevStealer는 어떻게 보안 분석을 피할 수 있을까?

RevStealer의 탐지 방지 메커니즘은 진짜 사용자 기기와 유사한 모습을 만들어내도록 설계되어 있으며, 통제된 분석 환경에서 알림이 발생하지 않도록 합니다. 이 악성코드는 메모리, 프로세서 코어, 호스트명, 사용자 이름, 설치된 그래픽 하드웨어 등을 철저히 검사하여, 기기가 실제 사용자 기기처럼 보이도록 합니다. 또한, 통제된 분석 환경에서 나타나는 디버깅 지연 현상도 감시합니다. 의심스러운 징후가 발견되면, 악성코드는 보안 연구원들의 탐지를 피하기 위해 감염을 중단합니다.

시스템이 모든 검사를 통과하면, 악성코드의 Payload가 해독되어 무작위한 파일명으로 저장됩니다. 그 후 이 Payload는 은밀하게 실행되며, 표준 보안 도구로는 감지되지 않도록 합니다. 이러한 방식으로 악성코드는 감염된 시스템에서 조용히 작동할 수 있으며, 민감한 데이터를 수집하고 암호화폐 지갑을 목표로 하면서도 즉각적인 경고가 발생하지 않습니다. 무작위적인 파일명과 Payload 해독 과정은 보안 분석가들이 악성코드의 동작을 분석하는 데 추가적인 복잡성을 초래합니다.

크립토마이닝 도난 위협의 더 넓은 맥락은 무엇인가?

‘RevStealer’ 캠페인은 최근 암호화폐 도난 사건들과 맞물려 발생했습니다. 특히 연방 당국과 CrowdStrike가 Sality 봇넷을 해체한 사건도 있었습니다. Sality 봇넷은 20년 이상 동안 운영된 봇넷으로, EggJagger라는 도구를 사용하여 사용자의 월렛 주소를 침해자들이 통제하는 주소로 바꿔서 암호화폐를 훔쳤습니다. 이러한 방식으로 범죄자들은 8년 동안 최소 12.1백만 루블, 즉 약 15만 달러에 해당하는 금액을 훔칠 수 있었습니다.

사리티 봇네트워크는 분산된 피어-투-피어 아키텍처를 사용하여 작동했기 때문에, 중앙 집중화된 명령 서버가 필요 없으므로 차단 작업이 복잡해집니다. 크라우드스트라이크 연구원들은 이 피어-투-피어 프로토콜의 취약점을 발견하여, 합법적인 피어 주소를 회사가 관리하는 인프라로 대체함으로써 15,000대 이상의 감염된 기기들을 범죄 네트워크에서 격리할 수 있었습니다. 이 사례는 암호화폐 생태계에서 클립보드 도난 위협이 여전히 존재한다는 점과 공공/민간 부문의 협력적인 조치가 얼마나 효과적인지 보여줍니다.

Anthropic의 클로드는 Constitutional AI를 통해 모델 수준의 안전성을 제공하지만, 입력 데이터에 대한 내재적 보호 기능은 부족합니다. 기업용 보안을 위해서는 브라우저, 데스크톱 애플리케이션, MCP 커넥터, API, 파일 업로드 등 다섯 가지 환경에서 데이터 손실을 방지하기 위한 외부적인 데이터 손실 예방 장치가 필요합니다. 주된 위험은 데이터가 클로드의 컨텍스트 창에 들어오는 다섯 가지 환경에 있으며, 특히 MCP 커넥터는 클로드가 Slack, SharePoint, 데이터베이스와 같은 SaaS 도구에서 데이터를 자율적으로 가져오도록 해서, 전통적인 프로xy 기반의 데이터 손실 예방 장치를 우회할 수 있기 때문에 특히 위험합니다.

AI를 활용한 사회적 공격 기술과 정교한 악성코드 배포 기법이 결합되면서 암호화폐 투자자들에게 심각한 위험이 발생합니다. 사이버 범죄자들이 인기 있는 AI 도구와 트렌드를 계속 이용함에 따라, 사용자들은 항상 주의를 기울이며 소프트웨어의 진위성을 확인해야 합니다. RevStealer와 같은 악성코드를 통해 세션 쿠키와 암호화폐 월렛이 도난당하는 현상은, 디지털 자산 분야에서 나타나는 새로운 위협들을 효과적으로 방어하기 위한 강력한 보안 조치가 필요하다는 것을 보여줍니다.

최근 Sality 봇넷이 파괴된 사건은 법 집행 기관과 사이버 보안 회사들이 암호화폐 도난을 막기 위해 계속 노력하고 있음을 보여줍니다. 하지만 RevStealer와 같은 새로운 악성코드의 등장은 이러한 위협의 변화하는 성격을 보여줍니다. 투자자와 기업들은 엔드포인트 보호, 브라우저 DLP, 소프트웨어 출처의 엄격한 검증 등 다양한 보안 전략을 적용하여 악성코드에 의한 재정 손실을 방지해야 합니다.