구글 크롬과 마이크로소프트 엣지용 악성 확장 프로그램 19개가 발견됐습니다. 이 확장 프로그램들은 암호화폐 지갑의 비밀 키와 로그인 정보를 훔치는 코드를 숨기고 있었으며, 일부는 정상 작동하는 척하면서 뒤에서는 공격자 서버로 데이터를 몰래 전송했습니다. 공격자는 이미 이용자가 많은 합법적인 확장 프로그램을 구입하거나, 처음에는 깨끗한 버전을 올려두고 설치 수가 늘어나면 악성 코드를 추가한 업데이트를 배포하는 방식을 사용했습니다. 크롬은 기본적으로 확장 프로그램을 자동 업데이트하기 때문에 이용자가 알아채기 어렵고, 피해 규모가 커지기 쉽습니다. 적어도 2024년 2월부터 2년 이상 활동이 이어지고 있어 매우 정교한 위협으로 평가됩니다.
보안 기업 Socket 연구팀이 크롬 18개·엣지 1개 등 총 19개의 악성 브라우저 확장 프로그램을 발견했다. 공격자는 정상 확장 프로그램을 인수하거나 직접 만든 뒤 악성 코드를 포함한 업데이트를 배포했으며, 이 캠페인은 'Superior'라는 이름으로 추적되고 있다.
설치 기반이 가장 큰 'Enable Right Click & Copy — Smart Unlock + OCR' 하나만으로 크롬·엣지 합산 8만 명의 이용자에게 영향을 미쳤다. 암호화폐 지갑 탈취, 하드웨어 지갑 시드 문구 수집, 거래소 계정 탈취, 페이스북·링크드인 계정 탈취, 브라우저 히스토리 수집, 범용 자격증명 탈취 등 16개 악성 모듈이 확인됐다.
공격자가 합법적으로 게시된 확장 프로그램을 인수하거나 자체 배포 후 악성 업데이트를 발행했다. 크롬의 기본 자동 업데이트 정책이 피해 확산을 도왔으며, C2(명령·제어) 서버 주소를 동적으로 교체해 탐지를 회피했다.
Socket이 해당 확장 프로그램 목록을 공개했다. 이용자는 설치된 확장 프로그램을 즉시 점검하고 불필요하거나 불명확한 출처의 확장 프로그램을 제거해야 한다. 기업 환경에서는 허가된 확장 프로그램 목록(allowlist) 정책 적용을 검토해야 한다.
크롬의 자동 업데이트는 악성 코드 배포의 핵심 경로로 악용되고 있다. 기업 보안 담당자는 직원 브라우저의 확장 프로그램 목록을 주기적으로 감사하고, 엔터프라이즈 정책으로 미승인 확장 설치를 차단하는 것이 필요하다.
본문
Ravie Lakshmanan 2026년 8월 28일 · 웹 보안 / 공급망
사이버보안 연구원들이 지난 6개월간 게시된 구글 크롬 확장 프로그램 18개와 마이크로소프트 엣지 확장 프로그램 1개를 발견했다. 해당 확장 프로그램들에는 지갑 비밀 키 탈취 및 암호화폐 드레이닝(암호화폐를 강제 출금시키는 공격) 기능이 내장되어 있었다.
Socket의 보안 연구원 Karlo Zanki에 따르면, 이 확장 프로그램들은 코드와 공격 수법 면에서 유사성을 공유하며, 이 캠페인이 2024년 2월부터 활성화됐음을 보여주는 정황이 확인됐다. Socket은 이 활동을 Superior라는 이름으로 추적하고 있다.
공격 방식은 비교적 단순하다. 위협 행위자는 정상적인 기능을 갖춘 합법 확장 프로그램을 인수하거나, 악성 코드가 없는 깨끗한 버전을 먼저 배포한다. 확장 프로그램이 일정 수의 이용자를 확보하면, 악성 동작이 포함된 새 버전을 게시하는 방식이다.
확인된 확장 프로그램 중 14개는 위협 행위자가 직접 만든 것이고, 나머지 5개는 기존 소유자로부터 구입한 것이다. 전체 확장 프로그램 목록은 아래와 같다.
- 위협 행위자가 구입한 확장 프로그램
- 위협 행위자가 직접 만들어 게시한 확장 프로그램
"QuickLens - Search Screen with Google Lens"는 올해 초 Annex Security와 monxresearch-sec 양쪽에서 이미 악성 확장으로 지목된 바 있으며, 다운스트림 고객에게 악성코드를 배포하고 임의 코드를 삽입해 민감한 데이터를 수집할 수 있는 기능이 상세히 기술된 바 있다.
Socket의 최신 조사 결과는 이 활동의 범위가 기존에 알려진 것보다 훨씬 광범위하며 2024년 2월부터 지속됐음을 보여준다. 이 캠페인의 일부 측면은 DomainTools Investigations가 2025년 5월에 이미 문서화했다.
당시 위협 행위자는 합법적인 서비스·생산성 도구·광고 및 미디어 분석 어시스턴트·VPN 서비스·암호화폐 또는 뱅킹 유틸리티를 가장한 가짜 웹사이트를 만들어 이용자를 속여 크롬 웹 스토어에서 악성 확장 프로그램을 설치하도록 유도하는 것이 관찰됐다.
"이 확장 프로그램들은 일반적으로 이중 기능을 갖추고 있어, 겉으로는 정상 작동하는 것처럼 보이지만 동시에 악성 서버에 접속해 이용자 데이터를 전송하고, 명령을 수신하며, 임의 코드를 실행합니다." — DomainTools Investigations
가장 큰 잠재적 영향을 가진 확장 프로그램은 "Enable Right Click & Copy — Smart Unlock + OCR"로, 크롬과 엣지 브라우저를 합산해 8만 명의 설치 기반을 보유하고 있다. 각 확장 프로그램은 C2(명령·제어, Command-and-Control) 서버와 접촉을 수립하고 지속적인 WebSocket 연결을 설정하는 기능도 지원한다.
"주목할 점은 이 로딩 프레임워크가 초기 C2 서버로부터 받은 지시에 따라 C2 엔드포인트를 교체하는 기능을 지원하며, 이 동작이 실제 공격에서도 관찰됐다는 것입니다." — Zanki
"이 기능을 통해 위협 행위자는 피해자를 다른 그룹과 전용 C2 인프라로 분산시키고 탐지 위험을 줄일 수 있습니다. 데이터 유출 엔드포인트 또한 C2 지시에 따라 동적으로 수신되어 피해자별 전용 유출 채널이 구성됩니다."
QuickLens 사례에서 확인된 것처럼, 확장 프로그램에 내장된 악성 코드는 모든 페이지의 CSP(콘텐츠 보안 정책, Content Security Policy) 헤더를 제거하고, 콘텐츠 스크립트를 이용해 표적 웹사이트에 JavaScript 코드 모듈을 삽입하는 방식을 사용한다. 총 16개의 모듈이 확인됐으며, 아래와 같은 범주에 해당한다.
- 멀티체인 지갑 드레이너
- 하드웨어 지갑 시드 문구(seed-phrase) 수집기
- 암호화폐 거래소 및 지갑 계정 수집기
- 범용 자격증명·폼 그래버(입력 정보 탈취기)
- 페이스북·링크드인 계정 탈취기
- 브라우저 히스토리 탈취기
- ClickFix 방식 유인 모듈
ClickFix 모듈은 가짜 웹 브라우저 업데이트 화면을 삽입하고, 운영체제별 안내 지침을 이용해 이용자가 악성 명령어를 직접 복사·붙여넣기하도록 유도한다.
이 캠페인의 배후가 누구인지는 아직 밝혀지지 않았다. 그러나 2년 이상 성공적으로 운영돼 왔다는 사실은 "매우 능력 있는 위협 행위자"임을 방증한다.
"최종 이용자에게 가장 큰 위험은 위협 행위자가 합법적인 확장 프로그램을 성공적으로 인수한 뒤 악성 기능이 탑재된 새 버전을 배포하는 운영 기법입니다. 이 접근 방식은 크롬의 기본 확장 프로그램 자동 업데이트 설정과 결합되어 위협 행위자에게 확장 프로그램 인수의 영향력과 도달 범위를 극대화할 수 있는 강력한 벡터(공격 경로)를 제공합니다." — Zanki
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
