공격자들이 가짜 AI 암호화폐 자동매매 프로그램 사이트를 만들어 'Needle Stealer'라는 악성코드를 배포했습니다. 이 악성코드는 사용자의 브라우저 지갑 확장 프로그램(MetaMask, Coinbase Wallet 등)을 가짜 복사본으로 교체하고, 입력한 지갑 비밀번호를 공격자에게 전송해 가상자산을 탈취합니다. 설치 파일에 마이크로소프트가 서명한 정상 프로그램을 이용해 보안 검사를 우회하는 수법이 사용됐습니다. 또한 PDF 속 QR코드를 이용해 피해자를 스마트폰으로 유도한 뒤 마이크로소프트 계정 정보를 훔치는 '퀴싱(QR코드 피싱)' 공격도 함께 발견됐습니다. HP가 2026년 4월~6월 사이에 포착한 이 캠페인들은 AI 도구와 다양한 기기를 넘나드는 사용자 행동을 적극적으로 악용합니다.
공격자가 가짜 AI 암호화폐 트레이딩 에이전트 사이트(tradingclaw[.]pro)를 운영하며 Needle Stealer 악성코드를 배포했다. 해당 악성코드는 브라우저 지갑 확장 프로그램을 악성 복사본으로 교체해 비밀번호를 탈취한다.
MetaMask, Coinbase Wallet, Phantom 등 7종의 브라우저 지갑 확장 프로그램 사용자가 표적이 되며, 지갑 ID와 비밀번호가 탈취될 경우 가상자산 전액 손실로 이어진다. QR코드 피싱, Phantom Stealer, XWorm, PureLogs Stealer, Formbook 등 복수의 악성코드 캠페인도 병행 운영됐다.
마이크로소프트 서명 정상 프로그램(OLEView)을 이용한 DLL 사이드로딩으로 Windows SmartScreen을 우회하고, 프로세스 할로잉 기법으로 정상 프로세스 내에서 악성코드를 실행한다. 스테가노그래피(이미지 속 악성 코드 은닉), HTML 스머글링 등 탐지 우회 기술이 복합 적용됐다.
브라우저 지갑 확장 프로그램의 진위를 확인하고, 검증되지 않은 AI 에이전트 앱 사용을 자제해야 한다. HP는 제로트러스트 기반의 격리·차단 접근법을 권고한다. 조직은 업무용 PC뿐 아니라 모바일 기기의 보안 통제도 강화해야 한다.
브라우저의 지갑 잠금 해제 화면이 정상적으로 보여도 확장 프로그램이 교체됐을 수 있으므로, 암호화폐 관련 작업은 출처가 확인된 환경에서만 수행해야 한다. 이미지나 PDF에 숨겨진 악성코드는 이메일 게이트웨이를 우회할 수 있어 엔드포인트 단의 탐지가 중요하다.
본문
공격자들은 가짜 AI 암호화폐 트레이딩 에이전트 웹사이트를 구축하고, 피해자의 브라우저 지갑을 비밀번호를 공격자에게 전송하는 복사본으로 교체하는 악성코드 'Needle Stealer'를 설치하는 데 이를 활용했다. HP는 2026년 4월~6월 사이에 이 캠페인을 포착했다.
Needle 캠페인은 검색 결과나 광고에서 AI 에이전트를 다운로드하는 사용자와, MetaMask, Coinbase Wallet, Phantom 등 7종의 브라우저 지갑 확장 프로그램 사용자를 표적으로 삼는다. HP는 피해자를 스마트폰으로 유도하는 QR코드 피싱도 포착했다.
AI 트레이딩 에이전트 설치 프로그램을 제공한다고 약속하는 웹사이트 예시 (출처: HP)
설치 파일은 진짜 마이크로소프트 소프트웨어
해당 사이트 tradingclaw[.]pro는 봇에 잘 알려진 AI 어시스턴트를 연상시키는 이름을 붙이고 24시간 암호화폐 자동매매 에이전트를 약속했다. ZIP 다운로드 파일 안의 Trading Agent.exe는 마이크로소프트가 서명한 프로그램인 OLEView로, Windows SmartScreen의 평판 검사를 통과한다. 이 파일의 유일한 목적은 해당 검사를 우회하는 것이다. 실행되면 옆에 있는 악성 파일인 iviewers.dll을 로드하는데, 이를 DLL 사이드로딩이라 부른다.
해당 DLL은 새로 시작된 정상 프로세스 내부에서 Needle Stealer를 실행하는데, 이 기법을 프로세스 할로잉(process hollowing)이라 한다. Needle은 7종의 지갑 확장 프로그램을 탐색하고, 브라우저를 강제 종료한 뒤, 확장 프로그램 폴더에 악성 복사본을 풀어 넣는다. 가짜 확장 프로그램은 공격자의 명령 서버에 접속해 피해자가 입력하는 비밀번호를 전송한다. 공격자는 지갑 ID와 비밀번호를 확보하면 자금을 마음대로 사용할 수 있다.
브라우저에 암호화폐 지갑을 보관하는 경우, 익숙한 잠금 해제 화면이 보인다고 해서 설치한 확장 프로그램이 그대로라는 보장은 없다. HP는 지갑 비밀번호와 결제 작업을 검증할 수 없는 에이전트 앱에서 사용하지 말 것을 권고한다.
QR코드로 피해자를 스마트폰으로 유도
연구진은 또한 흐릿한 문서 뒤에 QR코드가 있는 PDF 인보이스를 이메일로 발송하는 여러 캠페인도 포착했다. 스마트폰으로 스캔하라는 안내와 함께 전송되는 이 수법을 퀴싱(quishing)이라 한다. 스캔 후에는 가짜 이메일 보안 스캐너와 Cloudflare Turnstile 검사(사람이 페이지를 로드하는지 확인)를 거치는 리다이렉트를 통해 마이크로소프트 자격증명을 요구하는 OneDrive 유사 페이지로 연결된다.
업무용 PC에는 이미 알려진 피싱 도메인을 차단하는 이메일 게이트웨이와 브라우저 보호 기능이 있을 수 있다. 반면 스마트폰은 대개 보안 방어 수단이 적어, PC에서는 차단될 링크가 스마트폰에서는 열릴 수 있다.
고객 지원까지 제공하는 스틸러 판매
Phantom Stealer는 웹에서 "침투 테스트 도구"로 공개 판매되며, 분석을 막는 크립터(암호화 도구), 기능 업데이트, 24/7 지원이 함께 제공된다. 구매자는 악의적 목적으로 사용하지 않겠다는 데 동의해야 한다. HP는 이를 배포하는 여러 이메일 캠페인을 격리했다.
각 캠페인의 VBScript는 평범해 보이는 이미지를 가져와 그 안에서 .NET 로더를 추출하는 PowerShell 명령을 생성했다. 이를 스테가노그래피(steganography)라 한다. PowerShell 스크립트에 내장된 'Phantom Gate'라는 구성 요소가 해당 로더를 시작했다. 로더는 스틸러를 다운로드하고 디코딩한 뒤, 정상적인 .NET Framework 프로세스인 RegAsm에 주입했다. 연구진은 공통된 이름과 배포 방식을 근거로 동일한 위협 행위자가 두 도구 모두의 배후일 가능성이 있다고 판단한다.
"사용자들은 브라우저, 새로운 AI 도구 등 기기와 애플리케이션 사이를 끊임없이 이동하며, 공격자들은 이를 빠르게 쫓아옵니다. 보안은 사람의 업무를 방해하지 않으면서도 이 모든 상호작용에 걸쳐 작동해야 합니다. 그러려면 조직에 격리와 차단을 중심으로 한 제로트러스트 접근법이 필요합니다. 신뢰할 수 없는 클릭과 다운로드가 위험이 되지 않도록요." — HP 퍼스널 시스템즈 글로벌 보안 총괄 James Wright
수백 장의 조작된 이미지
또 다른 인보이스 캠페인들은 두 가지 경로로 도달했다. 일부는 이메일 게이트웨이 스캐너를 우회할 수 있도록 피해자 기기에서 악성 파일을 조립하는 HTML 스머글링(HTML smuggling)을 사용했다. 나머지는 유사 도메인으로 연결되는 검색 결과를 이용했다. 두 경로 모두 이미지에 숨겨진 페이로드를 디코딩하는 로더로 끝났으며, XWorm, PureLogs Stealer, Formbook이 설치돼 자격증명과 시스템 데이터를 탈취했다.
이미지의 시각적 유사성을 기준으로 검색하는 VirusTotal의 퍼셉추얼 해시(perceptual hash) 검색을 통해, 3개월간 이 캠페인들과 연관된 약 400개의 서로 다른 이미지가 발견됐다.
가짜 설치 프로그램
HP 연구진은 또한 마이크로소프트 사이트를 모방한 러시아어 사이트를 추적했다. 해당 사이트의 설치 프로그램은 제휴 수수료를 위해 다른 제품을 함께 설치하며 Word는 설치하지 않는다. 함께 설치되는 보안 제품이 해당 설치 프로그램을 위험 요소로 탐지해 삭제한다. 서명된 설치 프로그램 두 개, UltraZip과 AllFiles는 기본 검색 엔진을 변경하며 삭제 후에도 변경이 유지된다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
