이란 해커, 텔레그램 제어 악성코드로 반체제 인사·언론인 감시

한 줄 요약

미국 FBI, 영국 NCSC, 네덜란드 AIVD가 공동으로 이란 정보부(MOIS)가 사용하는 윈도우 악성코드를 공개했습니다. 이 악성코드는 텔레그램 앱을 통해 원격 조종되며, 피해자의 이메일·채팅 메시지 복사, 화면 캡처, 마이크 녹음 등을 수행합니다. 공격자들은 유명 앱(Pictory, KeePass, Telegram 등)으로 위장한 파일을 메시지로 전송해 악성코드를 설치하며, 이란 반체제 인사·언론인·활동가를 주요 표적으로 삼습니다. 피해자 정보는 친이란 성향 유출 사이트에 올라와 납치·살해 위협으로 이어진 사례도 있어 디지털 위협을 넘어 물리적 위협으로 확대될 수 있습니다. 윈도우 레지스트리의 'Run' 키 항목(SMQDService 또는 winappx)과 비정상적인 텔레그램 네트워크 연결 여부를 확인하는 것이 탐지의 출발점입니다.

사건

이란 정보부(MOIS)가 HEAVYGRAM(영국명 CHOSEN BRICK)이라는 윈도우 악성코드를 2023년 가을부터 운영 중이며, 텔레그램 봇을 C2(명령·제어) 채널로 활용해 전 세계 반체제 인사·언론인·활동가를 감시하는 사이버 첩보 캠페인이 미·영·네덜란드 3국 공동 어드바이저리를 통해 공개되었습니다.

영향

피해자 이메일·채팅·스크린샷·음성이 탈취되고, 수집된 개인정보가 친이란 유출 사이트에 게시되어 실제 납치·살해 위협으로 이어질 수 있습니다. 최신 버전은 감염 시스템 전체 삭제(와이핑) 기능도 보유하고 있습니다.

원인

공격자가 지인 또는 메신저 기술지원팀을 사칭해 정상 프로그램처럼 위장한 파일을 전송하고, 피해자가 이를 실행하면 백그라운드에서 멀웨어가 설치됩니다. Microsoft Defender의 특정 폴더 스캔을 비활성화하고 레지스트리 Run 키에 등록해 재부팅 후에도 지속됩니다.

대응

FBI·NCSC·AIVD가 IOC(침해지표: 파일 해시, 레지스트리 키, 네트워크 도메인, 뮤텍스명 등)를 공개했으며, 미 법무부는 관련 이란 유출 사이트 4곳을 압류했습니다. Telegram은 관련 계정을 정기적으로 차단 중이라고 밝혔습니다.

실무 포인트

SMQDService 또는 winappx 레지스트리 Run 키, C:\Windows \SysWOW64 경로(공백 포함), api.telegram.org·vultrobjects.com 등 외부 서비스로의 비정상 연결을 모니터링하십시오. 공식 경로 외 경로로 전달된 파일은 절대 실행하지 말고, 피싱 저항성 MFA 및 애플리케이션 허용 목록을 적용하십시오.

본문

미국, 영국, 네덜란드의 사이버보안 기관들이 이란 정보기관이 전 세계 반체제 인사, 언론인, 활동가를 감시하는 데 사용하는 윈도우 악성코드를 상세히 공개했습니다.

이 악성코드는 텔레그램 메신저 앱을 통해 원격 조종되며, 표적의 이메일과 채팅 메시지를 복사하고, 스크린샷을 촬영하고, 마이크를 활성화해 오디오를 녹음할 수 있습니다.

FBI는 이 악성코드를 HEAVYGRAM, 영국 국가사이버보안센터(NCSC)는 CHOSEN BRICK이라고 부릅니다.

이 공동 어드바이저리는 9월 15일 NCSC, FBI, 네덜란드 정보보안국(AIVD)이 공동으로 발표했습니다. FBI는 또한 2026년 3월 공개된 최초 캠페인 설명 경보를 보완하는 업데이트된 악성코드 분석 보고서를 발표하며 더 많은 기술적 세부 정보와 새로운 침해지표(IOC)를 추가했습니다.

FBI는 이 악성코드를 이란의 주요 정보기관인 이란 정보보안부(MOIS)에 귀속시키며, 광범위한 캠페인의 시작 시점을 2023년 가을로 보고 있습니다. 어드바이저리에 따르면 CHOSEN BRICK은 적어도 2025년 이후 영국, 미국, 네덜란드 및 전 세계에서 사람들을 대상으로 사용되었습니다.

기관들에 따르면 표적은 주로 이란 반체제 인사, 이란에 비판적인 언론인, 활동가, 그리고 정부와 견해가 충돌하는 단체 구성원들입니다. 그러나 FBI는 이란이 관심을 갖는 사람이라면 누구든 표적이 될 수 있다고 경고했습니다.

기관들은 위험이 단순한 데이터 탈취에 그치지 않는다고 말합니다. 스크린샷과 기타 수집된 정보는 표적의 연락처, 위치, 일상적인 일과를 노출할 수 있습니다. 일부 피해자의 개인정보가 친이란 유출 사이트에 게재되었으며, 어드바이저리는 이로 인해 해당 피해자들의 안전 위험이 높아질 수 있다고 밝혔습니다.

3월, 미 법무부는 이란 유출 사이트 4곳을 압류했습니다. 법무부는 이 사이트들이 탈취한 데이터를 게시하고 반체제 인사, 언론인 등의 살해를 촉구하는 데 사용되었다고 밝혔습니다.

기관들은 이란이 이러한 사이버 활동을 위협으로 간주하는 사람들을 탄압하는 데 활용하고 있다고 판단합니다. 일부 사례에서는 이란 정보기관이 이러한 사람들을 해외에서 납치하거나 살해하려는 모의를 한 것으로 덧붙였습니다.

공격 방식

공격은 메시지 하나로 시작됩니다. 공격자들은 표적이 아는 사람 또는 메신저 앱의 기술 지원팀으로 위장해 신뢰를 쌓은 뒤, 정상 프로그램처럼 보이는 파일을 전송합니다.

공격자들은 주로 표적의 업무용 컴퓨터에서 먼저 시작한다고 기관들은 말합니다. 이것이 실패하면 회사 보안이 적용되지 않는 개인 기기로 이동을 시도합니다.

확인된 위장 방식에는 AI 영상 앱 Pictory, 패스워드 관리자 KeePass, Telegram 자체, RunwayML, Norton Antivirus, Adobe Flash Player 등이 포함됩니다. 일부 경우에는 파일이 MRI 검사 결과처럼 보이도록 만들어졌습니다.

표적이 파일을 열면 설득력 있는 가짜 화면이 나타나는 동안 실제 악성코드가 백그라운드에서 설치됩니다. 1단계는 해당 앱으로 위장하고, 2단계는 공격자가 컴퓨터를 제어하고 탈취한 데이터를 수집하는 데 사용하는 텔레그램 봇에 연결합니다. 지금까지 확인된 모든 버전은 윈도우에서만 실행됩니다.

재시작 후에도 살아남기 위해 악성코드는 자신을 윈도우 레지스트리의 "Run" 키에 추가해 사용자가 로그인할 때마다 다시 시작됩니다. 또한 내장 바이러스 백신인 Microsoft Defender에 특정 폴더를 검사 예외로 등록해 자신의 파일이 스캔되지 않도록 합니다.

감염된 각 컴퓨터에는 전용 텔레그램 봇이 부여되며, 기관들은 이를 통해 한 피해자의 활동이 다른 피해자의 것과 섞이지 않도록 한다고 설명합니다.

실행된 후 악성코드는 다양한 명령을 수행할 수 있습니다: 실행 중인 프로그램 목록 조회, 스크린샷 촬영, 마이크 활성화, 브라우저에서 Telegram 및 WhatsApp 데이터 복사, 저장된 비밀번호와 이메일 주소 탈취, 추가 악성코드 다운로드, 파일 삭제. 공동 어드바이저리에 따르면 적어도 하나의 버전은 컴퓨터 전체를 완전히 삭제(와이핑)할 수도 있습니다.

기관들은 이 악성코드가 추가 도구를 다운로드할 수는 있지만 스스로 네트워크 전체에 확산되는 것은 관찰되지 않았다고 밝혔습니다. 탈취된 파일은 텔레그램 봇과 Vultr, Storj 같은 클라우드 스토리지 서비스를 통해 외부로 전송됩니다. 어드바이저리에 따르면 최신 버전은 텔레그램 트래픽을 프록시 서버를 통해 은닉합니다.

탐지 징후

어드바이저리들은 방어자와 위험에 노출된 사용자가 확인할 수 있는 탐지 징후를 다음과 같이 나열합니다:

레지스트리 키: SMQDService 또는 winappx라는 이름의 "Run" 키 항목 — 로그인 시 악성코드가 시작되도록 추가됨.
파일 경로: 악성코드가 추가 파일을 드롭하는 공백이 삽입된 폴더, C:\Windows \SysWOW64.
네트워크: api.telegram.org, vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com, lightningproxies.net 등 정상적인 서비스로의 예상치 못한 연결.
뮤텍스: 악성코드가 중복 실행을 방지하기 위해 설정하는 이름 마커, 예: ytyjyujyu, noi672pp434awkc12f.

FBI 분석 보고서와 공동 어드바이저리에는 파일 해시를 포함한 전체 목록이 수록되어 있습니다. 기관들은 악성코드의 파일명과 폴더가 변경될 수 있으므로 이러한 징후만을 유일한 탐지 기준으로 삼아서는 안 된다고 경고합니다.

대응 방법

위험을 줄이기 위해 기관들은 개인 사용자에게 다음을 권고합니다:

메시지나 링크를 통해 전송된 파일은 열지 말고, 소프트웨어는 공식 웹사이트나 앱스토어에서만 다운로드하십시오.
운영체제와 모든 앱을 최신 상태로 유지하고, 가능하면 자동 업데이트를 활성화하십시오.
바이러스 백신 소프트웨어를 실행하고 항상 활성화·최신 상태로 유지하십시오.
파일 다운로드 시 SmartScreen 경고를 무시하지 마십시오.

네트워크 관리자에게는 다음을 권고합니다:

피싱 저항성 다중요소 인증(MFA)을 활성화하십시오.
애플리케이션 허용 목록(allowlisting)과 관리형 기기 제어를 사용하십시오.
이메일 제공자가 제공하는 스캔 및 보안 도구를 활용하십시오.
컴퓨터와 네트워크 트래픽을 모니터링하고, 위의 침해지표를 기준으로 로그를 검색하십시오.

감염이 의심되는 경우 위에서 설명한 "Run" 키를 확인하고, IT 지원팀에 알리고, 국가 사이버 기관에 신고해야 합니다. 어드바이저리들은 악성코드 제거만으로 완전한 침해 복구가 이루어지는지에 대해서는 언급하지 않았습니다.

FBI가 3월 처음으로 이 캠페인에 대해 경고했을 때, Telegram은 TechCrunch에 자사 운영자들이 "악성코드와 관련된 것으로 확인된 계정을 정기적으로 삭제하고 있다"고 밝혔습니다. 기관들은 자신들의 결론을 법정에서 확정된 사실이 아닌 평가로 제시하고 있습니다.