가짜 macOS 문제 해결 게시물에 암호화폐 지갑 탈취 프로그램이 설치됩니다

에 의해

란다 모세스

2분 읽음 (4분 전)

가짜 macOS 문제 해결 게시물은 암호화폐 지갑 탈취 프로그램을 설치합니다.

공격자들이 가짜 macOS 문제 해결 가이드를 게시하여 사용자들이 암호화폐를 탈취하는 악성 터미널 명령어를 실행하도록 유도하고 있습니다.
해당 캠페인은 2025년 후반부터 활동해 왔으며, 피해자들이 악성 명령어를 직접 실행하기 때문에 게이트키퍼를 우회합니다.
애플은 macOS 26.4에서 악성 코드일 가능성이 있는 명령어를 터미널에 붙여넣는 것을 차단하는 보호 기능을 추가했습니다.

공격자들이 Medium, Craft, Squarespace 등의 플랫폼에 가짜 macOS 문제 해결 가이드를 게시하고 있습니다. 이들의 목표는 사용자가 터미널 명령어를 실행하여 iCloud 데이터, 저장된 비밀번호, 암호화폐 지갑 등을 노리는 악성코드를 설치하도록 유도하는 것입니다.

마이크로소프트의 디펜더 보안 연구팀은 조사 결과를 발표했습니다. 이 악성코드는 2025년 말부터 활동해 왔으며, 디스크 공간 확보나 시스템 오류 수정과 같은 일반적인 문제 해결을 위해 도움을 찾는 맥 사용자들을 대상으로 합니다.

해당 페이지들은 제대로 된 해결책을 제시하는 대신, 사용자들에게 명령어를 복사해서 터미널에 붙여넣으라고 안내합니다. 그러면 그 명령어가 악성 소프트웨어를 다운로드하고 실행합니다.

해당 블로그 게시물들은 악성 명령어를 복사해서 터미널에 붙여넣으라고 독자들에게 지시합니다. 이 명령어를 실행하면 악성코드가 다운로드되어 피해자의 컴퓨터에서 실행됩니다.

이 기법은 ClickFix라고 합니다. 이는 악성 코드 실행 책임을 피해자에게 전가하는 사회공학적 수법입니다. 사용자가 터미널에서 명령어를 직접 실행하기 때문에 macOS Gatekeeper는 악성 코드 실행 내용을 검사하지 않습니다.

Gatekeeper는 일반적으로 Finder를 통해 열린 앱 번들의 코드 서명 및 공증을 확인하지만, 이 방법은 이 과정을 완전히 우회합니다.

공격자들은 동일한 목표를 가지고 세 번의 공격 캠페인을 벌였습니다

마이크로소프트는 캠페인 설치 프로그램 세 가지를 발견했습니다

로더.
대본.
도우미.

이 세 가지 악성 프로그램 모두 민감한 데이터를 수집하고, 지속적인 접근 권한을 확보하며, 탈취한 정보를 공격자의 서버로 유출합니다.

해당 악성코드 계열에는 AMOS, Macsync, SHub Stealer가 포함됩니다. 이 세 가지 악성코드 중 하나라도 설치되면 iCloud와 Telegram 계정 데이터를 노립니다. 그 다음 2MB 미만의 개인 문서와 사진을 찾습니다. 또한 Exodus, Ledger, Trezor 등의 암호화폐 지갑에서 키를trac하고 Chrome과 Firefox에 저장된 사용자 이름과 비밀번호를 훔칩니다.

설치 후, 악성 프로그램 가짜 대화 상자를 띄우고 "도우미 도구" 설치를 위해 시스템 암호를 요구합니다. 사용자가 암호를 입력하면 공격자는 파일 및 시스템 설정에 대한 완전한 접근 권한을 얻게 됩니다.

일부 사례에서 연구원들은 공격자들이 합법적인 암호화폐 지갑 앱을 삭제하고 거래를 감시하고 자금을 훔치도록 설계된 트로이목마 버전으로 교체한 것을 발견했습니다.

Trezor Suite, Ledger Wallet, Exodus는 이번 공격의 주요 표적 앱 중 일부였습니다.

로더 캠페인에는 킬 스위치도 포함되어 있습니다. 이 악성 프로그램은 러시아어 키보드 레이아웃을 감지하면 실행을 중지합니다.

보안 연구원들은 공격자들이 curl, osascript 및 기타 macOS 기본 유틸리티를 사용하여 페이로드를 메모리에서 직접 실행하는 것을 관찰했습니다. 이는 파일을 사용하지 않는 접근 방식으로, 일반적인 안티바이러스 도구의 탐지를 더욱 어렵게 만듭니다.