시만텍, 주얼버그 첩보·암호화폐 사기 병행 지목

중국계 해킹 조직 주얼버그(Jewelbug)가 정부·군사기관을 겨냥한 사이버 첩보 활동과 암호화폐 사기를 같은 인프라에서 병행한 것으로 조사됐다.

시만텍(Symantec) 위협 헌터팀은 13일 보고서에서 주얼버그를 중국계 해커 고용형 조직으로 분류하고, 이 조직이 XG-Web이라는 단일 제어판으로 두 갈래 작전을 운영했다고 밝혔다. 주얼버그는 어스 알룩스(Earth Alux), REF7707, CL-STA-0049와 겹치는 활동명으로도 추적돼 왔다.

보고서의 핵심은 암호화폐 사기가 별도 범죄 조직의 활동이 아니라 첩보 작전과 같은 운영 환경에서 돌아갔다는 점이다. XG-Web은 브라우저 중심 원격 접근·정보 탈취 프레임워크로, 피해자의 브라우저를 원격 제어 통로로 바꾸고 내부 네트워크 접근까지 이어지게 하는 구조를 갖췄다.

시만텍은 주얼버그의 피해자 데이터베이스에서 2026년 2월부터 5월까지 100만 건이 넘는 임플란트 체크인, 58만 건 이상의 탈취 브라우저 쿠키, 2300건 이상의 이메일 본문 유출이 확인됐다고 밝혔다. 한 중동 국가에서는 15개가 넘는 정부 웹메일 테넌트에 한 번에 워터링홀 공격이 심어진 사례도 적시됐다.

임플란트 체크인은 감염 단말이 공격자 서버와 주기적으로 통신한 흔적을 뜻한다. 브라우저 쿠키와 이메일 본문 유출은 계정 탈취, 추가 침투, 내부망 정찰로 이어질 수 있어 단순 악성코드 감염보다 피해 범위가 넓다.

암호화폐 사기 축은 중국어 사용자를 겨냥했다. 운영진은 가짜 거래소 다운로드 페이지를 만들고 검색 순위 조작으로 유입을 늘렸으며, OKX와 바이낸스를 사칭한 유사 도메인도 다수 등록했다.

공격자는 방문자에게 정상 거래소처럼 보이는 페이지를 노출하고, 검색엔진 크롤러에는 피싱 콘텐츠가 보이도록 숨기는 방식을 썼다. 검색 결과와 다운로드 경로를 함께 장악해 이용자가 스스로 악성 앱이나 확장 프로그램을 설치하게 만드는 구조다.

브라우저 확장 프로그램도 공격의 중심에 있었다. 'PDF Viewer'로 위장한 크롬·파이어폭스 확장 프로그램은 쿠키, 디버거 접근, 웹 요청 가로채기, 다운로드 감시, 네이티브 메시징 권한을 요구했다.

이 확장 프로그램은 로그인 정보와 쿠키, 방문기록, 북마크, 화면 캡처, 클립보드 내용을 빼낼 수 있었다. 브라우저가 거래소 로그인, 지갑 주소 확인, 인증 메일 접근에 함께 쓰인다는 점을 노린 공격으로 풀이된다.

암호화폐 이용자에게 직접 닿는 지점은 클립보드 모듈이다. 시만텍은 해당 코드베이스에 복사한 암호화폐 주소를 공격자 주소로 바꿔치기할 수 있는 기능이 들어 있었다고 밝혔다.

다만 관측 기간 중 주소 대체 규칙은 배포되지 않았다. 실제 주소 바꿔치기 기능이 사용됐다는 정황은 보고서에 제시되지 않았다.

주얼버그는 윈도 백도어 안티노(Antino)도 함께 운용했다. 안티노는 가짜 어도비 플래시 또는 어도비 설치 파일로 배포됐고, 마이크로소프트 그래프 API를 명령제어 채널로 사용했다.

정상 클라우드 서비스를 명령제어 통로로 쓰면 악성 트래픽과 일반 업무 트래픽을 구분하기 어려워진다. 기업 보안팀 입장에서는 단말, 브라우저, 클라우드 접근 로그를 함께 봐야 탐지 가능성이 높아진다.

이번 보고서는 거래소 자체 침해보다 이용자 단말과 검색 유입 경로가 공격 표면으로 활용될 수 있음을 보여준다. 가짜 다운로드 페이지, 악성 브라우저 확장, 클립보드 접근 권한이 결합하면 거래소 브랜드 사칭과 지갑 주소 탈취가 낮은 비용으로 확산될 수 있다.

본지는 앞서 주소 재사용과 개인키 노출 같은 기본 관리 실패가 블록체인 손실로 이어질 수 있다고 보도했다. 이번 사안도 스마트컨트랙트 취약점보다 이용자 환경과 주소 확인 절차가 공격 지점이 될 수 있음을 드러낸다.

시만텍은 2025년 10월에도 주얼버그가 러시아 IT 서비스 업체에 장기간 침투한 사실을 공개한 바 있다. 당시 사안은 코드 저장소와 소프트웨어 빌드 시스템 접근 가능성이 공급망 위험으로 지목됐고, 이번 보고서는 그 첩보형 인프라가 암호화폐 사기 사업과 맞물려 운영됐다는 점을 추가로 드러냈다.

이번 사안이 개별 암호화폐 가격에 직접 미칠 영향은 제시되지 않았다. 암호화폐 이용자와 거래소 사업자에게는 검색 결과, 다운로드 경로, 브라우저 확장 권한, 복사한 지갑 주소 확인이 보안 점검 항목으로 남았다.