가짜 macOS 문제 해결 게시물이 암호화폐 지갑 탈취 프로그램을 설치한다

공격자들은 Medium, Craft, Squarespace에 가짜 macOS 문제 해결 가이드를 게시하고 있다. 목표는 사용자가 iCloud 데이터, 저장된 비밀번호, 암호화폐 지갑을 노리는 악성코드를 설치하는 터미널 명령을 실행하도록 만드는 것이다.

마이크로소프트의 디펜더 보안 연구팀이 이 발견을 발표했다. 이 캠페인은 2025년 후반부터 진행되어 왔으며, 디스크 공간 확보나 시스템 오류 수정과 같은 일반적인 문제 해결을 위해 도움을 찾는 맥 사용자를 표적으로 삼고 있다.

정식 해결책을 제공하는 대신, 해당 페이지들은 사용자에게 명령을 복사하여 터미널에 붙여넣으라고 안내한다. 그 명령은 악성코드를 다운로드하고 실행한다.

오해의 소지가 있는 블로그 게시물은 독자들에게 악성 명령을 복사하여 터미널에 붙여넣으라고 안내한다. 이 명령은 악성코드를 다운로드하고 피해자의 컴퓨터에서 실행한다.

이 기법은 ClickFix라고 불린다. 이는 페이로드 실행에 대한 책임을 피해자에게 전가하는 소셜 엔지니어링 기법이다. 사용자가 터미널에서 명령을 직접 실행하기 때문에 macOS 게이트키퍼는 페이로드를 검사하지 않는다.

게이트키퍼는 일반적으로 파인더를 통해 열려 있는 앱 번들의 코드 서명과 노타리제이션을 확인하지만, 이 방법은 이를 완전히 우회한다.

공격자들은 동일한 목표를 가진 세 가지 캠페인을 시작했다

마이크로소프트는 세 가지 캠페인 설치 프로그램을 발견했다.

1. 로더.
2. 스크립트.
3. 도움말.

세 가지 모두 민감한 데이터를 수집하고, 지속성을 확립하며, 탈취한 정보를 공격자의 서버로 유출한다.

악성코드 패밀리에는 AMOS, Macsync, SHub Stealer가 포함된다. 이 세 가지 악성코드 중 하나가 설치되면 iCloud 및 텔레그램 계정 데이터를 노린다. 그런 다음 2MB 미만의 개인 문서와 사진을 찾는다. 그리고 Exodus, Ledger, Trezor의 암호화폐 지갑 키를 추출하고 크롬과 파이어폭스에서 저장된 사용자 이름과 비밀번호를 탈취한다.

설치 후 악성코드는 가짜 대화상자를 표시하고 “도움말 도구” 설치를 위해 시스템 비밀번호를 요청한다. 사용자가 비밀번호를 입력하면 공격자는 파일과 시스템 설정에 대한 전체 접근 권한을 얻는다.

일부 경우 연구원들은 공격자가 정품 암호화폐 지갑 앱을 삭제하고 거래를 모니터링하고 자금을 탈취하도록 설계된 트로이목마 버전으로 대체하는 것을 발견했다.

트레저 스위트, 레저 월렛, 엑소더스는 이 공격에서 주요 표적이 된 앱 중 일부였다.

로더 캠페인에는 킬 스위치도 포함되어 있다. 악성코드는 러시아어 키보드 레이아웃을 감지하면 실행을 중단한다.

보안 연구원들은 공격자가 curl, osascript 및 기타 기본 macOS 유틸리티를 사용하여 페이로드를 메모리에서 직접 실행하는 것을 관찰했다. 이는 표준 안티바이러스 도구에게 탐지를 더 어렵게 만드는 파일리스 접근 방식이다.

공격자들은 암호화폐 개발자를 노린다

ANY[.]RUN의 보안 연구원들은 ‘Mach-O Man’이라는 라자루스 그룹의 작업을 발견했다. 해커들은 가짜 회의 초대를 통해 동일한 ClickFix 기법을 사용했다. 그들은 macOS가 일반적인 핀테크 및 암호화폐 머신을 노렸다.

크립토폴리탄 PromptMink 캠페인에 대해 보도했다.

북한 그룹인 퍼머스 초리마는 AI 생성 변경을 통해 암호화폐 거래 프로젝트에 악성 npm 패키지를 삽입했다. 두 층의 패키지 접근 방식을 사용하여 악성코드는 지갑 데이터와 시스템 비밀에 접근했다.

두 캠페인 모두 암호화폐 지갑 데이터가 가치 있음을 보여준다. 공격자들은 가짜 블로그 게시물에서 AI 지원 공급망 침해에 이르기까지 다양한 전달 방법을 적응시켜 이에 접근하고 있다.