크립토 클립보드 하이재커

1) 개요

최근 가상자산 거래자 및 온라인 도박·예측 게임 이용자를 겨냥하여 고도화된 신뢰도 조작 기법(Fake Reputation Campaign)을 활용하는 교묘한 악성코드 유포 캠페인이 발견되었다. 본 캠페인의 최종 페이로드는 Rust 기반으로 제작된 클립보드 하이재커(Clipboard Hijacker)로, Windows와 macOS 환경을 모두 지원하는 교차 플랫폼(Cross-platform) 특징을 가지고 있다.
본 캠페인이 기존의 악성코드 유포 방식과 구별되는 가장 큰 차별점은 단순히 악성코드를 숨기는 것을 넘어, 공격자가 직접 전방위적인 소셜 프루프(Social Proof)와 디지털 신뢰 기반을 인위적으로 구축했다는 점이다. 공격자는 피해자가 파일을 내려받기 전 의심을 품지 않도록 다음과 같은 정교한 신뢰 가공(Manufacturing Trust) 생태계를 설계했다.
동작 관점에서 본 악성코드는 사용자가 암호화폐를 전송할 때 지갑 주소를 복사(Copy)하는 순간을 실시간 모니터링한다. 클립보드에 암호화폐 지갑 주소 형식을 감지하면, 백그라운드에서 이를 공격자의 지갑 주소로 은밀히 치환하여 금전적 자산을 가로챈다. 

2) 신뢰도 조작 기법(Fake Reputation Campaign) 분석

신뢰도 조작 기법(Fake Reputation Campaign)이란 공격자가 악성코드를 유포하기 전에 대상 파일, 개발자 계정, 배포 플랫폼, 심지어 보안 커뮤니티 평판 정보까지 의도적으로 위조하여 "안전하고 인기 있는 정상 파일"이라는 가짜 신뢰 생태계를 구축하는 공격 전략이다.
해당 공격자는 이러한 신뢰도를 올리기 위해 다양한 방법으로 평판 조작을 시행했다. 공격자의 공격 대상으로는 암호 화폐 이용자를 대상으로 하고 있으며, 이러한 공격 타겟을 겨냥하기 위해 피싱 사이트를 생성하여 특정 코인을 다른 구매자 보다 빠르게 구매할 수 있는 자동화 도구인 스나이퍼 봇(Sniper Bot)과 온라인 베팅 게임의 일종인 크래시 게임을 예측할 수 있는 에비에이터 예측기(Aviator Predictor)를 유포하고 있다. 

<그림 1> 피싱 사이트에 유포중인 스나이퍼 봇(Sniper Bot) 

<그림 2> 피싱 사이트에 유포중인 에비에이터 예측기(Aviator Predictor) 

피싱 사이트에서는 유포하는 소프트웨어의 신뢰도를 높이기 위해 사용 방법과 기능을 소개하는 유튜브 영상을 게시하고 있으며, 그 외에도 다양한 게임 예측기들에 대해서 유포를 진행하고 있다. 해당 게임들은 외형은 조금씩 다르지만 ‘[실행 경로]\src\config’ 경로에 주요 악성코드인 silkebin.exe가 모두 포함되어 있어 실행하면 최종적으로 악성코드 로더의 기능을 수행한다. 

<그림 3> 피싱 사이트에 게시된 유튜브 영상 

<그림 4> 다양한 게임 예측기로 위장한 악성코드 로더 

이러한 위장 소프트웨의 신뢰도를 올리기 위해 다양한 방법을 통해 서비스를 광고하고 있다. 대표적인 방법으로는 해당 소프트웨어 사용 방법에 대한 유튜브 영상을 게시하여 유튜브를 통해 피해자들을 유인한다. 해당 유튜브는 실제로 존재하며, 유튜버 정보에 기재된 내용이 피싱 사이트 주소와 연락처가 같은 것을 알 수 있다. 

<그림 5> 신뢰도 조작을 위해 생성된 유튜버 정보 

소개 영상에 등장하는 인물은 AI를 통해 생성하였으며, 설명하는 음성 또한 AI 음성이다. 다수의 구독자와 영상의 높은 조회수로 인해 영상의 신뢰도를 높이고 있으며, 이를 통해 영상에서 소개하는 솔루션이 실제도 동작하는 것처럼 보이게 하여 임의의 피해자들이 해당 프로그램을 스스로 실행하게 만들고 있다. 

<그림 6> AI로 제작된 썸네일과 영상 

유튜브 외에도 Github에도 관련 소프트웨어의 프로젝트를 게시하고 있다. 해당 프로젝트의 경우도 평판 조작을 하여 다수의 팔로우와 별을 가지고 있다. 

<그림 7> Github에 게시된 프로젝트 

프로젝트 내의 소스코드에는 악성코드가 없지만 프로젝트 릴리스에 업로드된 압축 파일에는 악성코드가 포함되어 있으며, 최근 파일을 새로 업로드한 것을 확인하였다. 안티 바이러스의 탐지와 VirusTotal의 평판 조회를 피하기 위해 새로운 버전으로 업로드한 것으로 추정된다. 

<그림 8> 프로젝트 릴리스에 업로드된 압축 파일 

<그림 9> 새로운 로더를 생성하여 VirusTotal의 평판 조회 회피 

또한 일부 뉴스 사이트에 홍보 기사가 게시된 것을 발견하였다. 해당 기사에는 소프트웨어가 신뢰도있는 것처럼 작성되어 있으며, 뉴스 사이트에 기사를 게시함으로써 검색 시 상위에 노출되도록 하여 피해자들에게 신뢰감을 주기 위한 것으로 추측된다. 단, 해당 기사 마지막의 법적 고지 부분에는 기사에 대한 어떠한 보증도 하지 않는다는 내용이 명시되어 있다. 

<그림 10> 뉴스 사이트에 게시된 홍보 기사 

<그림 11> 해당 뉴스 사이트의 법적 고지(번역) 

3) 악성코드 로더(Aviator) 분석

<표 1> 악성코드 로더 샘플 정보 

피싱 사이트에서 다운받은 프로그램을 실행하면 아래와 같이 승수 예측 소프트웨어 화면을 띄워주며, 승수 게임의 시드값을 입력하면 승수를 예측하는 것처럼 결과값을 출력한다. 실제 승수 예측이 제대로 되는지 확인하지 못하였지만, 피싱 유튜브에 달린 댓글 등으로 미루어 봤을 때 제대로 예측하지 못하는 것으로 추측된다. 

<그림 12> 승수 예측 소프트웨어 로 위장한 악성코드 로더 

코드를 분석해보면 ‘[실행경로]\src\config’ 경로에 저장된 silkebin.exe 파일을 실행하고, 만약 SmartScreen이나 안티 바이러스 등으로 silkebin.exe가 실행되지 않을 시  해당 보호 기능을 종료한 상태로 다시 실행하도록 메시지를 띄운다. 

<그림 13> silkebin.exe 실행 및 실행 실패시 사용자에게 다시 실행 유도 

4) silkebin.exe 분석

<표 2> silkebin.exe 악성코드 정보 

악성코드 로더에 의해 실행되며, Rust로 컴파일되어있다. 내부 문자열중 일부에 컴파일 환경 정보가 남아있으며, ChatGPT에 의해 생성된 것으로 보이는 문자열이 포함되어 있다. 이를 통해 공격자가 신뢰도 조작 기법부터 악성코드에 이르기까지 모든 단계에서 AI를 적극적으로 활용한 것을 알 수 있다. 

<그림 14> ChatGPT로 생성한 것으로 유추되는 문자열 포함 

악성코드가 실행되면 ‘Global\SilkeAppMutex’ 문자열로 뮤텍스를 생성한다. 그 후 시스템 정보를 수집하고 쓰레드를 통해 실행중인 프로세스중에 특정 문자열이 포함되어 있는지 확인하고, 해당 문자열이 있다면 악성코드를 종료한다. 

<그림 15> 안티 디버깅 문자열 확인 

아래는 프로세스에서 확인하는 문자열 리스트이다. 

<표 3> 안티 디버깅 문자열 리스트 

악성코드를 ‘C:\Program Files\silke\sike.exe’경로에 복사하고, 지속성을 위해 작업 스케줄러에 악성코드를 등록한다. 작업 스케줄러 등록시 메모리에서 XML을 조립해 Temp 경로에 생성 후 “schtasks /create /tn SilkeStartupTask /xml /f” 명령어를 통해 작업 스케줄러에 등록한다. 

<그림 16> Program Files 경로에 악성코드 복사 

<그림 17> 작업 스케줄러에 악성코드 등록 

클립보드 하이재킹은 폴링이 아닌 이벤트 드리븐 방식으로, 숨겨진 메시지 전용 창을 만들어 AddClipboardFormatListener로 클립보드의 내용 변경을 감지한다. 내용 변경시 GetClipboardSequenceNumber 값을 LAST_SERIAL과 비교해 자신이 쓴 변경으로 인한 재진입을 차단하고, 50ms를 지연시켜 원본 애플리케이션의 클립보드 쓰기가 끝나기를 기다린 후 텍스트만 읽어들인다. 

<그림 18> 클립보드 텍스트 데이터가 입력될 때까지 대기 

텍스트 크기가 9.5MiB를 넘으면 성능 저하로 인한 노출을 피하기 위해 처리를 포기하며, 정상 데이터는 UTF-8 변환된 뒤 22종 지갑 정규식 테이블로 지갑 주소인지 확인한다. 지갑 주소 확인되면 EmptyClipboard/SetClipboardData가 호출되어 공격자가 저장한 지갑 주소로 변환된다. 

<그림 19> 클립보드 내용 공격자 지갑 주소로 치환 

악성코드에서 확인하는 지갑 주소는 총 22종이며 아래는 리스트이다. 

<표 4> 클립보드에서 수집하는 지갑 주소 리스트 

아래는 악성코드에서 하이재킹하는 공격자의 지갑 주소 리스트이다. 

<표 5> 클립보드 하이재킹 시 교체되는 공격자 지갑 주소 리스트 

5) 결론

해당 악성코드는 기술적으로 새로운 것이 없었지만, 공격 전 단계에 걸친 '신뢰 구조 조작(Manufacturing Trust)'을 핵심 유포 전략으로 채택했다는 점에서 시사하는 바가 크다.
공격자는 개발자 커뮤니티(GitHub), 미디어(YouTube, 언론사), 검색 도구(SEO), 그리고 보안 평판 시스템(VirusTotal) 등 현대 IT 및 보안 생태계가 의존하는 주요 평판 지표를 조직적으로 가공했다. 이를 통해 사용자와 보안 솔루션의 1차적 경계심을 무력화시켰으며, 기존의 단순 평판 기반(Reputation-based) 탐지 체계만으로는 이러한 지능화된 변종 공격을 방어하기에 한계가 있음을 증명했다.
따라서 향후 악성코드 대응 전략은 단순히 파일의 출처나 '다운로드 수·평점'과 같은 외부 신뢰 지표에 의존하는 방식에서 벗어나, 다층적 무결성 검증 및 행위 기반(Behavioral) 탐지 중심의 방어 체계로 전환되어야 한다. 

6) IoC

SHA256
Windows 악성코드 로더
eeb5054fb54f265e3d756208c6f0a8e5f3ef8696cb30482371028c2703d60826
f737e99177cc05037ff34cf6e245dd56377dc3db4e2bb46edcf039df650939d6
7a9632bbecc31d02fdd0eab07e2424b3e1c9e9a3f91aac4ef6f708f2befbaa3d

Windows 크립토 클립보드 하이재커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MacOS 로더
6f12c066a929c96104796c4ecca938754962009ebd9e4ba5329bb940bf331d0a

MacOS 크립토 클립보드 하이재커
b71efdebd0ca3563e67edb7ad59358a6b8f013b219ad65033efcf48fd1c86619

피싱 사이트
https://decryptor[.]net

피싱 깃허브
https://github[.]com/crash-predictor1 

7) YARA Rule