맥 노리는 ClickFix 스틸러, 지갑 1%씩 빼간다

가짜 인증 화면이 시키는 대로 터미널(Terminal)에 명령어 하나만 붙여넣으면 맥(Mac) 암호화폐 지갑이 조금씩 비워진다. 보안업체 헌트리스(Huntress)는 ‘ClickFix’ 방식으로 유포되는 Go 언어 기반 신종 인포스틸러(정보 탈취) 악성코드를 발견했다고 밝혔다. 이 악성코드는 브라우저에 저장된 비밀번호, 애플 iCloud 키체인(Keychain) 데이터, 캐시된 자격 증명을 훔치는 데 더해 암호화폐 지갑에서 자금을 빼내는 기능까지 갖췄다. 헌트리스 연구원 앤드루 브랜트(Andrew Brandt)는 “악성코드의 가장 흥미로운 기능은 암호화폐 계정을 천천히 비워 공격자 계정으로 흘려보내는 능력”이라고 설명했다. 공격에 쓰인 서버는 미국·영국·호주로부터 제재를 받은 러시아 방탄호스팅 업체 아에자 그룹(Aeza Group) 인프라와 연결돼 있다.

이메일 링크에서 터미널 명령까지, 감염 경로 뜯어보기

공격은 피해자가 이메일로 받은 링크를 클릭하는 데서 시작한다. 링크를 열면 가짜 인증 페이지가 나타나 명령어를 복사해 터미널에 붙여넣으라고 안내한다. 이 명령이 실행되면 Bash 스크립트가 내려와 CPU·메모리·하드웨어 정보, 현재 로그인된 계정 이름 등 시스템 정보를 수집한다. 이후 피해자 맥의 프로세서 구조에 맞는 Mach-O 페이로드를 내려받는데, 애플 실리콘용 ARM64 버전과 인텔 64비트용 버전이 각각 준비돼 있었다.

악성코드는 애플 정식 구성요소처럼 위장한다. 인증서와 코드 서명을 검증하는 실제 macOS 프로세스인 trustd 이름을 딴 디렉터리를 만들고, 악성 실행 파일에는 com.apple.verified라는 이름을 붙인다. 인터넷에서 내려받은 파일에 붙는 com.apple.quarantine 확장 속성도 제거해 게이트키퍼(Gatekeeper)의 보안 경고를 피해간다. 이후에는 소프트웨어 업데이트 구성요소로 가장한 런치에이전트(LaunchAgent)를 등록해 지속성을 확보한다. 권한 상승 단계에서는 osascript 유틸리티로 “예기치 못한 시스템 오류”를 가장한 가짜 창을 띄워 관리자 비밀번호를 입력하도록 유도한다.

지갑을 통째로 안 턴다…‘DRAIN’ 기능의 정체

이 악성코드를 다른 맥 스틸러와 구별 짓는 요소는 ‘DRAIN’이라 불리는 함수다. 이 함수는 암호화폐 지갑 주소를 확인하고 잔액을 조회한 뒤, 서명 직전 거래 내용을 가로채 공격자 지갑 주소로 바꿔치기한다. 대상 암호화폐는 비트코인, 라이트코인, 도지코인, 모네로, 이더리움, 리플의 XRP다.

특히 이 악성코드는 지갑 전체 자금을 한 번에 비우는 대신, 잔액의 일부만 골라 빼갈 수 있도록 설계됐다. 코드 안에는 암호화폐 종류별로 지갑 잔액의 1%가 얼마인지 계산하는 별도 함수가 담겨 있다. 이를 통해 공격자는 얼마를 빼갈지 비율로 설정할 수 있다. 헌트리스는 “이런 기능 자체가 완전히 새로운 것은 아니지만, 지갑 전체 가치보다 적은 금액을 빼갈 수 있는 악성코드를 분석한 것은 이번이 처음”이라고 밝혔다. 적은 금액만 빼가면 피해자가 이상을 눈치채기 어려워, 네트워크 수수료나 환율 변동과 뒤섞여 감지가 더 어려워질 수 있다.

러시아 아에자 그룹 인프라, 그리고 확산 중인 ClickFix 변종들

악성 페이로드를 배포한 서버와 명령·제어(C2) 서버 모두 아에자 그룹 소유 인프라로 연결된다. 아에자 그룹은 랜섬웨어 조직 등 악성 행위자를 지원한 혐의로 미국과 영국, 호주로부터 제재를 받은 러시아 방탄호스팅 업체다.

이번 발견은 최근 몇 주 사이 잇달아 보고된 다른 ClickFix 공격들과 시기가 겹친다. 유사 도메인을 여러 개 동원해 MacSync와 아토믹 스틸러(Atomic Stealer)를 퍼뜨리는 캠페인은 방문자의 브라우저를 서버 단계에서 지문 인식해, 정상적인 macOS 브라우저 환경으로 판단될 때만 미끼 페이지를 노출하고 크롤러나 샌드박스는 걸러낸다. 팔로알토네트웍스(Palo Alto Networks) 유닛42(Unit 42)는 윈도우용 정상 실행 파일인 pcalua.exe를 악용해 파워셸을 구동하고 원격 WebDAV 공유를 마운트해 악성 DLL을 로드하는 변종도 확인했다. 또 다른 캠페인은 웹어셈블리(WebAssembly) 모듈과 SVG 이미지 속 스테가노그래피(정보 은닉 기법)를 동원해 네트워크 탐지를 피하기도 했다.

보안업체 비트디펜더(Bitdefender)에 따르면 마이크로소프트도 최근 ClickFix 방식으로 MacSync와 아토믹 스틸러를 유포하는 캠페인을 추적했다. 비트디펜더는 클로드 코드(Claude Code)를 사칭해 구글 광고를 악용한 캠페인도 별도로 문서화했는데, 스퀘어스페이스(Squarespace) 하위 도메인에 개설된 가짜 문서 페이지가 맥 방문자에게 Mach-O 백도어를 내려받는 난독화된 명령을 전달했다.

“정상 캡차는 터미널을 요구하지 않는다”

비트디펜더는 ClickFix가 기술적 취약점이 아니라 사회공학(피해자를 속여 직접 명령을 실행시키는) 공격이라는 점을 거듭 강조했다. 게이트키퍼, 코드 서명 검증, 노터라이제이션(Notarization) 같은 애플의 보안 계층은 사용자가 파인더(Finder)에서 앱을 실행할 때는 작동하지만, 사용자가 터미널에 직접 명령을 입력하면 이런 검증 절차를 건너뛴다.

비트디펜더는 정상적인 캡차라면 터미널을 열거나 명령어를 붙여넣도록 요구하지 않는다고 설명했다. curl, bash, zsh, osascript, python, base64로 시작하는 텍스트나 알 수 없는 긴 문자열을 실행하라는 페이지는 즉시 닫는 것이 안전하다는 조언이다. 이미 명령을 실행했다면 와이파이나 이선넷 연결을 끊은 뒤 다른 정상 기기에서 이메일, 애플 계정, 비밀번호 관리자, 금융 계정 비밀번호를 모두 변경하고 활성 세션을 해지해야 한다. 헌트리스는 이번 악성코드를 지난 6월 사후 위협 탐지(retrospective threat hunt) 과정에서 발견했으며, 조사 대상 맥에는 이미 수개월 전 감염 흔적이 남아 있었다고 밝혔다. 가짜 페이지를 닫거나 원본 이메일을 삭제해도, 이미 실행되고 지속성을 확보한 악성코드는 제거되지 않는다는 점을 시사하는 사례다.