공격자가 실제로 데스크톱 앱을 제공하지 않는 미국의 대형 급여·인사관리(HR) 플랫폼 3곳을 사칭한 가짜 설치 파일을 유포했습니다. 피해자가 설치 파일을 실행하면 정상적인 Microsoft 설치 화면만 보이는 사이에, 백그라운드에서 원격 제어 도구인 ScreenConnect가 몰래 설치됩니다. 공격자는 직원의 컴퓨터를 완전히 원격 제어해 회사 전체의 급여를 빼돌릴 수 있는 상태가 됩니다. 가짜 페이지는 AI 웹 빌더와 Vercel 호스팅, GitHub를 조합해 자동화 보안 스캐너의 탐지를 교묘히 피했습니다. 현재 해당 페이지와 악성 파일은 제거된 상태이며, 회사가 사용하는 클라우드 급여 플랫폼이 데스크톱 앱을 실제로 제공하는지 공식 확인 후 직원들에게 안내하는 것이 가장 중요한 대응입니다.
공격자가 미국 대형 급여·HR 플랫폼 3곳을 사칭한 가짜 데스크톱 앱 설치 파일을 제작·배포했다. 설치 시 ScreenConnect(정상 원격 접속 도구)가 무음(silent) 모드로 설치되며, 공격자 서버(jyleatyg[.]com)에 연결된다.
급여 담당자의 PC가 완전히 원격 제어되어 회사 전체 급여 계좌가 탈취·고갈될 수 있다. GitHub에서 291회 다운로드가 확인됐으며, 실제 피해 규모는 미확인이다.
Lovable AI 빌더로 제작한 고품질 사칭 페이지를 Vercel 뒤에 호스팅해 자동 보안 스캐너를 우회했고, NSIS 설치 파일이 정상 Microsoft .NET 런타임 설치 화면을 앞에 보여줘 피해자가 악성 행위를 인지하지 못했다.
Allure Security가 C2 도메인, GitHub 저장소, 가짜 페이지를 신고해 모두 제거됐다. SSL.com은 서명 인증서를 발급 당일 폐기했다.
자사가 사용하는 클라우드 급여·HR 플랫폼이 공식 데스크톱 앱을 제공하는지 벤더 공식 채널에서 확인하고, 존재하지 않는 앱 설치를 요구하는 링크는 즉시 차단·신고하도록 직원에게 공지해야 한다.
본문
공격자가 데스크톱 앱을 출시한 적이 없는 미국의 대형 급여·HR 플랫폼 3곳을 사칭한 "데스크톱 앱"을 유포하고 있다고 Allure Security가 밝혔다. 설치 파일을 실행하면 ScreenConnect(정상적인 원격 접속 도구)가 설치되며, 사용자가 모르는 사이에 공격자가 해당 컴퓨터를 제어할 수 있게 된다.
Allure Security 보안 연구 디렉터 Ryan Merritt에 따르면, 사칭된 3개 서비스는 모두 브라우저로 접속하는 웹 애플리케이션과 모바일 앱으로 제품을 제공하며, 현재 플랫폼에 대한 데스크톱 애플리케이션은 어느 곳도 제공하지 않는다. 연구팀은 사칭된 서비스 업체명은 공개하지 않았다.
급여 데스크톱 앱 미끼 페이지 3종 (출처: Allure Security)
이런 앱을 설치할 가능성이 가장 높은 대상은 급여 업무 담당자다. Merritt는 담당자 PC에 대한 무인(unattended) 원격 접근이 "회사 전체 급여를 빼돌리거나 고갈시킬 수 있는 경로"라고 말했다.
미끼 페이지는 텍스트 입력만으로 웹 페이지를 생성하는 AI 앱 빌더 Lovable로 제작됐다. 공격자가 빌드 메타데이터를 제거하지 않아 페이지에 남은 태그로 작업 흐름이 고스란히 드러났다. 공격자는 Lovable에서 각 페이지를 만들고, SavePage WE라는 브라우저 확장 프로그램으로 미리보기를 단일 HTML 파일로 저장한 뒤 Vercel에 호스팅했다.
메타데이터를 보면 스냅샷은 공격자 본인의 Lovable 미리보기 화면에서 찍혔다. 각 페이지에는 해당 브랜드의 로고, 제품 스크린샷, 라이브 채팅 위젯, 다운로드 버튼이 포함됐다.
페이지는 Vercel의 봇 챌린지 화면 뒤에 호스팅됐다. 자동화 스캐너는 챌린지에서 멈춰 미끼 페이지에 접근하지 못했다.
"자동화 스캐너가 챌린지 페이지에서 막혀 미끼 페이지에 도달하지 못했기 때문에, 페이지가 활성화돼 있는 동안 공개 스캔 흔적이 거의 남지 않았습니다." Merritt가 덧붙였다.
다운로드 버튼은 GitHub 저장소의 릴리스 파일로 연결됐다. 하나의 GitHub 계정에 브랜드별로 별도 저장소가 있었고, 각 저장소는 브랜드 이름이 붙은 동일한 파일을 배포했다.
해당 파일은 NSIS(Nullsoft Scriptable Install System)로 만든 약 64MB 크기의 설치 파일이다. 실행 시 먼저 Microsoft 서명이 적용된 정상 .NET Desktop Runtime 8.0.26 설치 프로그램을 열어 진행 창을 보여주고 성공 메시지로 마무리된다. 이후 msiexec를 /qn 플래그와 함께 실행해 ScreenConnect를 백그라운드에서 별도 인터페이스 없이 설치한다. 두 단계 사이에 표준 Windows 권한 상승(UAC) 프롬프트가 한 번 표시된다.
"피해자에게 보이는 것은 정상적으로 완료되는 실제 Microsoft 설치 화면뿐입니다. 약속한 급여 앱은 존재하지 않으므로 열리지 않고, 화면에 나타난 유일한 창은 Microsoft 것이었습니다. 화면상 아무것도 악성코드처럼 보이지 않습니다." Merritt가 작성했다.
ScreenConnect 클라이언트는 무인 접근 방식으로 구성됐으며, "under control" 배너, 트레이 아이콘, 연결 알림이 모두 비활성화됐다. 클라이언트는 Windows 서비스로 설치되어 안전 모드에서도 실행되고, 예약 작업을 생성하며 Windows 로그인 화면에서 로드되어 사용자가 로그인하기 전에도 접근이 가능하다.
모든 페이로드는 독일에 위치한 공격자 제어 ScreenConnect 서버 jyleatyg[.]com(89.213.118[.]127)의 포트 8041로 연결된다.
단일 공격자의 소행
세 미끼 페이지는 동일한 LiveChat 계정과 동일한 GitHub 계정을 사용했으며, 모든 페이로드가 동일한 ScreenConnect 서버에 연결됐다. 연구팀은 이를 근거로 이 캠페인을 단일 공격자의 소행으로 판단했다.
서버와 작동 중인 페이로드는 브랜드 페이지가 등장하기 한 달 전인 8월에 이미 사용되고 있었다. 당시 설치 파일은 SSL.com이 발급한 "Dennis Miller" 명의 인증서로 서명됐으나, SSL.com은 발급 당일인 2026년 7월 24일에 해당 인증서를 폐기했다. 9월 샘플은 서명이 없었다.
GitHub 파일은 291회 다운로드됐으며, 이 수치에는 연구자와 샌드박스에 의한 접근이 포함된다. 분석 시점 기준으로 70개 보안 엔진 중 32개가 해당 설치 파일을 악성으로 탐지했다.
"도달 범위 수치는 크지 않지만, 회사 급여 계좌가 고갈됐을 때의 잠재적 피해를 고려하면 결코 무시할 수 없습니다." Merritt가 지적했다.
피해자가 광고, 검색 결과, 이메일 중 어느 경로로 해당 페이지에 접근했는지는 아직 밝혀지지 않았다.
Microsoft는 2026년 3월, Teams·Zoom·Adobe Reader 같은 업무용 앱을 사칭해 ScreenConnect 등 원격 접근 도구를 배포하는 캠페인을 보고한 바 있다. Huntress도 2026년 9월, 기술 지원 미끼를 통해 악성 ScreenConnect 클라이언트가 유포된다고 보고했다.
연구팀은 동일한 도구와 동일한 유형의 ScreenConnect 페이로드를 사용한 가상화폐 거래소·지갑·DeFi 브랜드 사칭 가짜 데스크톱 앱도 발견했다. 이는 서명자, 인증 기관, 코드 호스팅 계정, 라이브 채팅 라이선스가 다른 별도의 공격자 클러스터로 판단된다.
가짜 급여 페이지 3개, 명령·제어(C2) 도메인, 설치 파일을 호스팅한 GitHub 프로파일은 모두 Allure Security의 신고로 현재 삭제된 상태다.
"회사에서 클라우드 급여 또는 HR 플랫폼을 사용하고 있다면, 이번 주에 할 수 있는 가장 유용한 일은 해당 서비스가 실제로 데스크톱 앱을 제공하는지 확인하고, 벤더가 제공하지 않는 다운로드는 업그레이드가 아닌 공격임을 직원들에게 알리는 것입니다." Merritt가 결론지었다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
