“정상 AI 도구도 의심해야”…악성코드 덫 주의보 작성일 02-01 6 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">안랩 “원격 보안 관리 설치 시 주의”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="fOqabBtWlv"> <p contents-hash="a5e1dbbdbfce82ba7c1f8ae4bf8ede4c27bf978febb80010355ef1ec57e6fcea" dmcf-pid="4IBNKbFYWS" dmcf-ptype="general">최근 사이버 공격자들이 악성코드를 유포하기 위해 정보기술(IT) 담당자들이 사용하는 원격 보안 관리 도구를 노리는 것으로 나타났다. 광고 차단기나 문서 뷰어, 번역기 등 인공지능(AI) 도구 기능으로 위장한 악성 확장 프로그램을 통해 업무 데이터를 탈취하는 공격도 늘어 주의가 필요하다.</p> <figure class="figure_frm origin_fig" contents-hash="fce211fd51d592814a895cc2686861ec50081774f4fd55c769a704a40cc9ba89" dmcf-pid="8Cbj9K3GTl" dmcf-ptype="figure"> <p class="link_figure"><img alt="위장 유틸리티 다운로드 페이지 화면 예시. 안랩 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/01/dt/20260201153846235fyux.jpg" data-org-width="640" dmcf-mid="VwG8XHCEyT" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/01/dt/20260201153846235fyux.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 위장 유틸리티 다운로드 페이지 화면 예시. 안랩 제공 </figcaption> </figure> <p contents-hash="85ee7c11892e71099c7bdcc6c36de48e5a1b4b459f64715db93c5d67d44cf754" dmcf-pid="6hKA290HWh" dmcf-ptype="general"><br> 1일 안랩의 ‘위협 분석 정보’ 보고서에 따르면 올해 1월에 정상 PDF 문서로 위장한 피싱 메일을 통해 원격 모니터링·관리(RMM) 도구를 유포한 건이 포착됐다. 랜섬웨어 그룹인 카오스와 로얄, 이란 지능형지속공격(APT) 위협 그룹인 머디워터 등이 RMM 도구인 ‘싱크로’ 등을 설치하도록 유도해 정보 탈취가 가능한 악성코드를 유포했다.</p> <p contents-hash="acde58540fd172d40fa69d7d9cc7d81002ef1085f773aced3695c6c3ba065b18" dmcf-pid="P3iTLn6blC" dmcf-ptype="general">안랩 측은 “최근 IT 관리자들이 사용하는 RMM 도구를 악용해 감염된 시스템을 원격 제어하거나 추가 악성코드를 유포하는 식의 공격으로 진화하고 있다”며 “정상 RMM 도구를 악용한 공격 수법은 점차 다양해지고 있고 단순 실행 여부만으로는 위협을 식별하기 어려울 수 있어 주의가 필요하다”고 당부했다.</p> <p contents-hash="999e894f9215c94016d0b86e2a4f588df299cf0791e2a601f341c93dc551d617" dmcf-pid="Q0nyoLPKyI" dmcf-ptype="general">공격에 사용된 PDF 문서 파일을 보면 업무 관련 키워드를 포함해 피싱 메일이란 점을 의심하지 못하도록 했다. 실행 시 고화질로 미리 보기가 불가능하다는 안내와 함께 구글 드라이브 링크를 클릭하도록 유도하기도 했다.</p> <p contents-hash="e6bbc66e7c91650eb684ccc703b71fee72ef6dbc1fe0dfff72bbd5a5f8246f46" dmcf-pid="xpLWgoQ9TO" dmcf-ptype="general">공격자들은 시스템 유지와 관리를 지원하는 유틸리티 다운로드 페이지를 위장해 악성코드를 설치하는 수법도 썼다. 노트패드(Notepad++)와 7-집(zip)을 비롯한 정상 유틸리티뿐 아니라 텔레그램, 오픈AI 등을 사칭한 다운로드 페이지를 통해 RMM을 다운받을 때 추가 악성코드를 함께 설치하도록 했다.</p> <p contents-hash="f9e4ca149caa9571f9ccbd58d834921c9a99f6ed0a203573c314f164e5c163ea" dmcf-pid="yj1MFtTsls" dmcf-ptype="general">최근 유용한 AI 도구를 앞세워 악성 브라우저 확장 프로그램을 설치하도록 유도하는 수법도 확인됐다. 챗GPT 포 크롬 위드(for Chrome with) GPT-5와 클로드 소네트(Claude Sonnet), 딥시크(DeepSeek) AI 등 정상 도구라고 판단될 수 있는 AI 도구를 웹 광고 및 팝업 등을 통해 ‘설치 필요’라는 문구로 현혹했다.</p> <p contents-hash="347eced5908e4aee47452b463d0e6d15f383c7dc813ac32477374420b40eee60" dmcf-pid="WAtR3FyOhm" dmcf-ptype="general">해당 악성 프로그램은 설치 이후에 계정 정보와 데이터를 탈취할 수 있어 주의해야 한다. 설치 초반에 정상적으로 작동하다가 업데이트 과정에서 악성 기능이 추가돼 피해를 입히는 경우도 있었다.</p> <p contents-hash="04a169e6a6a38cd5a144e745636772536a9fda5d304e9c03978284906a3230f7" dmcf-pid="YcFe03WIhr" dmcf-ptype="general">안랩 관계자는 “확장 프로그램은 필요한 것만 최소한으로 설치하고 권한 요청과 게시자 정보는 항상 확인하는 등의 보안 수칙을 지켜야 한다”고 말했다.</p> <p contents-hash="d3aea3feb4409a46bf9a355db19ddd757c56ae95d921eefff390eb1c6dad6d41" dmcf-pid="Gk3dp0YCvw" dmcf-ptype="general">임성원 기자 sone@dt.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털타임스. 무단전재 및 재배포 금지.</p> 관련자료 이전 김선호, 가족법인 설립에 탈세 의혹까지…소속사 “입장 정리 중” 02-01 다음 코인 급등락 땐 ‘시장가 금지’…또 한국만 갈라파고스식 규제 도입 02-01 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
