카스퍼스키, 암호화폐 사용자 겨냥 악성 프레임워크 '오코봇' 공개

글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 카스퍼스키 글로벌 연구분석팀(GReAT)이 지난 2026년 1월에 암호화폐 지갑 애플리케이션 창의 내용을 탈취할 수 있는 새로운 악성코드를 이용한 다수의 공격을 확인했다고 밝혔다.

오코봇은 툭PS(암호화폐 지갑의 복구용 시드 문구를 메모리에서 찾아 외부로 탈취하는 악성 도구)를 이용해 정보를 탈취하고, 새로운 오코스파이웨어 모듈을 통해 크로미움 기반 웹브라우저를 모니터링하며, 릴라이드 스틸러를 비롯한 다양한 악성코드를 배포하는 정교한 악성 프레임워크다. 현재까지 25개국 이상에서 수백 명의 피해자가 확인됐으며, 피해 규모가 가장 큰 국가는 브라질, 베트남, 캐나다, 멕시코, 튀르키예로 나타났다. 카스퍼스키 연구진은 이 위협이 현재도 활발히 활동 중이며, 특히 암호화폐 사용자가 주요 표적이 되고 있다고 밝혔다.

'오코봇'은 20개 이상의 악성 페이로드 (악성 기능을 수행하는 실행 코드)와 임플란트(감염된 시스템에 설치돼 지속적으로 공격자의 명령을 수행하는 악성 모듈)로 구성돼 있다. 이를 통해 로컬 파일 수집, 원격 명령 실행, 임의의 브라우저 확장 프로그램 다운로드, 계정 자격 증명 탈취, 영상 녹화 등 다양한 악성 기능을 수행한다. 또한 이번 공격에 사용된 새로운 임플란트 가운데 하나는 브라우저 메모리를 변조해 악성 확장 프로그램을 은밀하게 로드하고 숨기는 로더 역할을 수행한다. 오코봇에는 키 입력과 특정 애플리케이션 창의 화면을 실시간으로 수집하는 오코스파이웨어 모듈도 포함돼 있다

현재 확보된 정보만으로는 이번 공격을 특정 크라임웨어 조직의 소행으로 단정하기는 어렵다. 다만 이번 공격에 사용된 기법과 정보 탈취형 악성코드는 러시아어권 위협 행위자들이 널리 사용하는 방식이며, 기술 분석 과정에서도 러시아어 코드 흔적이 확인됐다.

최초 감염은 주로 두 가지 경로를 통해 이뤄진다. 첫 번째는 클릭픽스 공격으로, 공격자가 사회공학 기법을 이용해 사용자가 직접 악성 코드를 실행하도록 유도하는 방식이다. 두 번째는 깃허브에서 정상 소프트웨어로 위장한 악성코드를 배포하는 방식이다. 조사 과정에서 연구진은 마이크로소프트의 데이터베이스 관리 도구인 SQL 서버 매니지먼트 스튜디오(SSMS)의 가짜 설치 프로그램을 이용한 사례도 확인했다.

이 악성 프레임워크에는 시드헌터라는 악성코드 구성 요소도 포함돼 있다. 이 구성 요소는 시스템에서 실행 중인 프로세스를 지속적으로 모니터링한 뒤, 암호화폐 자산을 관리하는 공식 애플리케이션인 트레저 스위트, 레저 월렛, 레저 라이브에 임플란트를 삽입한다. 이후 트레저 또는 레저 하드웨어 지갑이 연결된 것을 감지하면 각 지갑 유형에 맞춰 별도로 설계된 피싱 화면을 표시해 사용자의 시드 문구를 입력하도록 유도한다.

카스퍼스키 글로벌 연구분석팀(GReAT) 드미트리 갈로프 러시아·CIS 담당 총괄 책임자는 "오코봇 공격 캠페인은 1년 이상 활동을 이어오고 있으며 2026년 7월 현재도 지속되고 있다. 확인된 감염 경로를 보면 개발자가 주요 공격 대상 가운데 하나인 것으로 판단된다. 특히 악성코드가 지속적으로 진화하고 있다는 점은 이 프레임워크가 현재도 활발히 유지·관리되고 있음을 보여준다. 공격이 계속 확산될 경우 가까운 시일 내 더 많은 사용자와 국가로 피해가 확대될 가능성이 있다"라고 말했다.

카스퍼스키 이효은 한국지사장은 "한국은 암호화폐 투자자와 소프트웨어 개발자가 많은 시장으로, 오코봇과 같은 고도화된 악성 프레임워크의 주요 표적이 될 가능성이 높다"라고 말하며, "국내에서도 공격자들은 사회공학 기법과 정상적인 오픈소스 소프트웨어로 위장한 악성 프로그램을 적극 활용하고 있으며, 하드웨어 지갑을 노린 피싱 공격도 꾸준히 증가하고 있다. 사용자는 서드파티 프로그램 설치를 위해 보안 기능을 비활성화하는 습관을 지양하고, 통합 보안 솔루션과 전용 비밀번호 관리 솔루션을 함께 활용해 다중 모듈 기반 스파이웨어 공격으로부터 암호화폐 자산을 안전하게 보호해야 한다"라고 말했다.

전체 보고서는 시큐어리스트에서 확인할 수 있다.

카스퍼스키 글로벌 연구분석팀(GReAT)은 안전한 사용을 위해 다음과 같은 보안 수칙을 권고했다.

• 신뢰할 수 없는 출처에서 제공된 안내나 인터넷에 게시된 검증되지 않은 방법을 따라 알 수 없는 코드를 실행하지 않는다. 공격자는 이러한 방식을 이용해 시스템을 감염시키며, 이는 데이터 유출은 물론 기기 제어권 상실로 이어질 수 있다.
• 모든 PC와 모바일 기기에 카스퍼스키 프리미엄과 같은 신뢰할 수 있는 보안 솔루션을 설치해 잠재적인 위협을 탐지하고 감염을 예방한다.
• 민감한 정보는 안전하게 관리한다. 비밀번호나 시드 문구, 복구 문구를 사진첩이나 메모장에 저장하지 말고, 카스퍼스키 패스워드 매니저와 같은 전용 비밀번호 관리 솔루션을 사용한다.
• 소프트웨어 설치를 위해 백신이나 보안 프로그램을 비활성화하지 말고, 게임 모드, 치트, 서드파티 유틸리티를 다운로드할 때에는 각별히 주의한다.
• 운영체제와 애플리케이션을 항상 최신 상태로 유지하고, 강력하면서도 서로 다른 비밀번호를 사용하며, 가능한 경우 다중 인증을 활성화한다.

TokenPost AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 작성된 기사입니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.