공격자들, ChatGPT 커스텀 GPT를 악용해 ClickFix 미끼로 RAT 유포

한 줄 요약

공격자들이 ChatGPT의 '커스텀 GPT(Custom GPT)' 기능을 악용해 가짜 제품 안내처럼 꾸민 뒤, 이용자를 악성 사이트로 유도하는 새로운 공격이 발견됐습니다. 이용자가 유도된 구글 사이트에서는 가짜 캡차 화면을 통해 이른바 'ClickFix' 수법으로 악성 PowerShell 명령을 직접 복사·실행하도록 속이며, 이 과정에서 정상 서명된 캐논(Canon) 실행파일을 악용한 DLL 사이드로딩으로 원격제어 악성코드(RAT)를 심습니다. 이 RAT는 화면·카메라·마이크 감시, 파일 검색, 추가 악성코드 실행 등 광범위한 기능을 갖추고 있으며 현재까지 최소 40명이 감염된 것으로 확인됐습니다. 이와 함께 OpenAI Codex·Anthropic Claude를 사칭한 사이트, 정상 사이트 해킹을 통한 ClearFake/EtherHiding 공격 등 ClickFix 기법을 쓰는 다른 캠페인들도 동시에 다수 발견되고 있어, 신뢰받는 플랫폼을 악용한 사회공학 공격이 확산되는 추세입니다.

사건

공격자가 ChatGPT의 커스텀 GPT 기능과 구글 검색 광고를 악용해 가짜 'Plus 5.6' GPT로 이용자를 유인한 뒤, ClickFix 수법으로 악성 PowerShell 명령을 실행시켜 RAT 악성코드를 설치시키는 캠페인이 발견됐다.

영향

최소 40명이 감염됐으며, 해당 RAT는 화면·카메라·마이크 감시, 브라우저 정보 탈취, 파일 검색, 추가 악성코드 실행 등 광범위한 원격 통제 기능을 갖추고 있다.

원인

이용자가 신뢰하는 ChatGPT 플랫폼과 구글 사이트를 악용한 사회공학 기법, 가짜 캡차를 통한 ClickFix 유도, 정상 서명된 캐논 실행파일을 이용한 DLL 사이드로딩 및 AMSI 우회·가상머신 탐지 회피 기술이 결합됐다.

대응

Huntress 등 보안업체가 캠페인을 탐지·공개했으며, 기업은 AI 서비스 검색 광고와 낯선 백업 도메인 안내, 복사·붙여넣기 실행 유도(ClickFix)에 대한 임직원 경각심 교육과 탐지 체계 강화가 필요하다.

실무 포인트

회사에서는 검색 광고를 통한 ChatGPT·AI 서비스 접근을 주의시키고, '캡차 확인을 위해 명령을 복사해 실행하라'는 식의 안내가 나오면 절대 따르지 않도록 안내해야 한다.

본문

Ravie Lakshmanan 2026년 9월 30일 | 악성코드 / 인공지능

위협 행위자들이 ChatGPT의 커스텀 GPT(Custom GPTs)를 악용해 정상적인 제품 안내처럼 위장한 뒤, 눈치채지 못한 피해자들을 ClickFix 미끼를 사용하는 악성 사이트로 유도해 악성코드를 유포하고 있습니다.

2026년 9월 말 이 활동을 관찰한 Huntress는 이번 사례가 신뢰받는 인공지능(AI) 플랫폼의 또 다른 기능이 악용된 사례라고 밝혔습니다. 이전 캠페인들에서도 AI 챗봇과의 공유 대화(shared conversations)와 악성 Claude Artifacts를 무기화해 정보 탈취형 악성코드(stealer malware)와 원격 접근 트로이목마(RAT)를 유포한 바 있습니다.

커스텀 GPT는 이름 그대로 사용자가 별도의 코딩 없이도 맞춤형 지침을 설정하고, 참조 파일을 업로드하며, 특정 스킬을 활성화해 고유한 작업을 처리할 수 있도록 해주는 ChatGPT의 개인화 버전을 말합니다. 이들은 정상적인 ChatGPT 웹사이트에 호스팅되며 상단에 커스텀 GPT 이름이 표시됩니다.

"저희가 확인한 사례들에서, 피해자들은 공격자가 만든 커스텀 GPT와 상호작용했으며, 이 GPT는 프롬프트에 대한 응답으로 구글 사이트(Google Sites) 링크가 포함된 메시지를 보내도록 프로그래밍되어 있었습니다"라고 Huntress는 밝혔습니다. "이 링크는 이용자를 ClickFix 방식의 공격으로 이끌었고, 결국 악성 MSI 설치 파일의 다운로드와 실행으로 이어졌습니다."

이후 설치 파일은 셸코드를 로드하는 DLL 사이드로딩(DLL sideloading) 체인을 시작하며, 이 셸코드는 지속성(persistence) 스크립트와 RAT 페이로드를 실행하는 데 사용됩니다. 이번 캠페인으로 최소 40명의 사용자가 감염된 것으로 확인됐습니다.

공격의 시작점은 구글에서 "chatgpt" 등을 검색했을 때 나타나는 스폰서 광고(sponsored result) 결과입니다. 확인된 두 개의 커스텀 GPT 링크는 다음과 같습니다 -

chatgpt[.]com/g/g-6ab595ad6554819181b686d4876efb80-plus-5-6
chatgpt[.]com/g/g-6ab6ba039440819185ed491740b11cf8-plus-5-6

"Plus 5.6"이라는 이름의 커스텀 GPT와 상호작용하게 된 사용자에게는 "서비스 이용 가능 알림(Service Availability Notice)"이 표시되며, 구독 등급을 업그레이드하거나 "기본 도메인의 제한된 이용 가능성" 때문에 백업 구글 사이트 도메인으로 이동하라는 안내가 뜹니다.

의심하지 않는 사용자들이 후자를 선택하도록 유도하기 위해, 이 알림은 "즉시 이용이 필요하다면 백업 도메인을 사용하실 것을 권장합니다"라는 메시지도 함께 보여줍니다.

피해자가 이를 따르면, 구글 사이트 도메인은 가짜 Cloudflare CAPTCHA 확인 화면을 띄우고 ClickFix 공격을 촉발시켜, 피해자가 악성 PowerShell 명령을 복사해 실행하도록 속입니다. 이 PowerShell 명령은 MSI 설치 파일("ISOSimple.msi")을 배포하는 데 사용되며, 이 파일은 정상적으로 서명된 캐논(Canon) 바이너리("COTFileReadApp.exe")를 악용해 악성 DLL("ceiinfolog.dll")을 사이드로딩합니다.

Huntress에 따르면 이 DLL은 실제 캐논 DLL이지만 변조되어, 두 번째의 서명되지 않은 DLL("rdCore.dll")을 로드하도록 되어 있으며, 이 DLL은 이어서 .WAV 오디오 파일("Common.Integrator.Preview.wav")에서 암호화된 로더를 추출합니다. 위협 행위자가 오디오나 비디오 파일 형식에 페이로드를 숨긴 것이 이번이 처음은 아니며, WAV 파일에 숨겨진 페이로드는 이전에도 Octowave Loader 캠페인과 관련해 관찰된 바 있습니다.

마지막 단계에서 로더 셸코드는 암호화된 파일 시스템("monitor.raw")에서 트로이목마와 지속성 스크립트를 압축 해제해 실행하는데, 그 전에 AMSI를 우회하고, 보안 프로그램의 사용자 모드 모니터링을 회피하기 위해 "ntdll.dll"을 언후킹(unhooking)하며, VMware, VirtualBox, Hyper-V, QEMU, Xen, Parallels의 각종 드라이버 및 서비스를 대상으로 CPU 벤더 문자열을 확인하는 방식으로 가상머신 탐지 회피(anti-VM) 검사를 수행합니다.

이 트로이목마는 다음과 같은 다양한 기능을 지원합니다 -

설치된 백신, Microsoft Defender 상태, 시스템 프로필 기록
원격 데스크톱 세션 실행 및 화면 "브로드캐스트"
엔드포인트의 카메라 입력, 마이크, 시스템 오디오 캡처
17개 웹 브라우저를 인식하고 기본 브라우저 실행 가능
내장된 파일 관리자 컴포넌트를 이용한 시스템 전반의 파일 내용 검색
2차 페이로드(.EXE, .DLL, .MSI)와 스크립트(PowerShell, 배치, VBScript, JavaScript) 드롭 및 실행

"'게이트(Gate)'라고 문자열에서 불리는 C2 서버를 찾기 위해, 이 RAT는 Cloudflare, Google, Quad9 서버를 통한 DNS-over-HTTPS를 사용합니다"라고 Huntress는 밝혔습니다. "이 조회는 잘 알려진 리졸버로 향하는 일반적인 HTTPS 트래픽 안에서 이루어지기 때문에 로컬 DNS 로그에는 전혀 나타나지 않습니다."

서버 정보는 코드 안에 암호화된 형태로 깊숙이 숨겨져 있거나 런타임에 가져오는 것으로 추정됩니다. 이 RAT 악성코드는 정상적으로 서명된 바이너리("GOMCam2024.exe")를 지속적으로 드롭하는 것으로 확인됐으며, 이 바이너리는 "%TEMP%" 디렉터리에 위치한 일회용 브라우저 프로필로 구글 크롬을 실행합니다.

"전체적으로 위협 행위자들은 ChatGPT의 커스텀 GPT 기능이든, ClickFix 공격을 호스팅하기 위한 구글 사이트를 통해서든, 신뢰받는 플랫폼을 설득력 있는 침투 경로로 계속 전환시키고 있습니다"라고 Huntress는 밝혔습니다.

이러한 조사 결과는 실제 환경에서 발견된 여러 건의 ClickFix 관련 캠페인들과 시기적으로 겹칩니다 -

OpenAI Codex와 Anthropic Claude를 흉내 내 신뢰를 구축한 구글 사이트(Google Sites) 호스팅 피싱 웹사이트를 사용해 가짜 설치 안내를 제공하고, ClickFix를 이용해 메모리 안에서 직접 정보 탈취형 악성코드를 배포·실행하는 캠페인. 이 스텔러(stealer)는 호스트의 지문을 채취하고 외부 도메인과 통신해 데이터 및 암호화폐 지갑 탈취를 위한 다음 단계 페이로드를 가져올 수 있습니다.
침해된 것으로 추정되는 웹사이트가 EtherHiding을 이용해 자바스크립트를 가져와 ClearFake reCAPTCHA 인증 프롬프트를 띄우고, 피해자가 악성 명령을 실행해 WebDAV 경로를 열고 DLL을 가져오도록 강요하는 캠페인. 이 DLL 페이로드는 다단계 과정을 거쳐 Amatera Stealer를 설치합니다. 이 스텔러는 민감한 데이터를 탈취하는 것 외에도 NativeAOT 로더, ZigCryptoStealer, Go 리버스 TCP 프록시라는 세 가지 2차 페이로드를 실행합니다. 이 스텔러의 다른 빌드는 NetSupport Manager를 설치하는 것으로도 확인됐습니다. 이러한 공격 중 일부는 우크라이나 정부 시스템을 표적으로 삼았으며, UAT-10820으로 추적되는 러시아 연계 활동 클러스터의 소행으로 지목되고 있습니다.
악성 광고(malvertising), 피싱 이메일, 침해된 소매업체 웹사이트를 이용해 사용자를 방탄호스팅 제공업체(AS202412)에 마련된 가짜 Cloudflare 인터스티셜 페이지로 유도해 악성 페이로드를 전달하는 캠페인. 여기에는 정보 탈취형 악성코드를 드롭하는 트로이목마화된 설치 파일, Node.js 임플란트, Windows Active Setup 레지스트리 키를 통해 지속성을 확립하는 배치 스크립트가 포함됩니다.
최소 2025년 11월부터 활동해 온 ClickFix 캠페인으로, 31개의 침해된 비즈니스 웹사이트로 구성된 클러스터를 이용해 가짜 CAPTCHA 미끼를 보여주고 드로퍼를 전달합니다. 이 드로퍼는 이후 PowerShell 스크립트를 실행해 지속성과 C2 에이전트를 설정하며, 이 에이전트는 Polygon 블록체인을 조회하는 EtherHiding 기법을 사용해 C2 서버를 식별한 뒤 이를 통해 임의의 PowerShell 명령을 수신·실행합니다.

"범용 원격 접근 백도어로 시작된 것이, 이후 피해자가 입력하는 즉시 주요 은행 및 암호화폐 거래소의 로그인 자격증명과 2단계 인증 코드를 가로챌 수 있는 실시간 뱅킹 트로이목마를 전달하는 것으로 관찰되었습니다"라고 GuidePoint Security는 밝혔습니다.