스폰서 검색 결과는 신뢰 경계가 아닙니다

가짜 ChatGPT 다운로드 캠페인이 브랜드 사칭, 악성 광고 (malvertising), 공유 링크 남용 (shared-link abuse), 클로킹 (cloaking), 플랫폼별 페이로드 (platform-specific payloads), CAPTCHA 게이팅 (CAPTCHA gating), Electron 패키징 (Electron packaging), JavaScript 난독화 (JavaScript obfuscation), 그리고 단계적 실행 (staged execution)을 사용하여 Windows 및 macOS 사용자에게 멀웨어 (malware)를 전달했습니다.

이것은 단순히 또 다른 가짜 다운로드 페이지가 아닙니다.

이는 공격자들이 여러 계층에 걸쳐 신뢰를 어떻게 악용하는지를 명확하게 보여주는 사례입니다:

• 신뢰받는 브랜드 (Trusted brand)
• 신뢰받는 검색 흐름 (Trusted search flow)
• 신뢰할 수 있어 보이는 광고 배치 (Trusted-looking ad placement)
• 신뢰할 수 있어 보이는 도메인 패턴 (Trusted-looking domain patterns)
• 신뢰할 수 있는 UI/브랜딩 (Trusted UI/branding)
• 신뢰할 수 있는 설치 프레임워크 (Trusted installer frameworks)
• 신뢰할 수 있는 코드 서명 가정 (Trusted code-signing assumptions)
• 신뢰할 수 있는 AI 플랫폼 공유 기능 (Trusted AI platform sharing features)

발생한 상황:
공격자들은 다음 도메인을 사용하여 가짜 OpenAI/ChatGPT 다운로드 경험을 홍보했습니다:
openew[.]app
이 사이트는 OpenAI 스타일의 브랜딩을 복제했으며 다음을 위한 다운로드 경로를 제공했습니다:
• Windows
• macOS
• Chrome 확장 프로그램 (Chrome extension)
Chrome 확장 프로그램 경로는 합법적인 ChatGPT 관련 확장 프로그램으로 연결되어, 인지된 정당성을 더욱 높였습니다.
Windows 및 macOS 다운로드 경로는 멀웨어를 전달했습니다.

공격자들은 또한 chatgpt[.]com/s/ 페이지를 포함한 합법적인 ChatGPT 공유 대화 링크를 남용하여 가짜 서비스 중단 또는 다운로드 페이지를 호스팅했습니다.

신뢰할 수 있는 도메인에 호스팅된 링크라도 사용자에게 공격자가 제어하는 콘텐츠를 전달할 수 있습니다.

이 캠페인은 클로킹 (cloaking)과 조건부 렌더링 (conditional rendering)을 채택했습니다: 자동화된 스캐너와 분석 도구에는 무관한 AR/VR 기업 사이트로 알려진 무해한 콘텐츠를 보여준 반면, 실제 브라우저에는 악성 ChatGPT 테마의 다운로드 경험을 제공했습니다.

그것이 핵심 교훈입니다:

이 캠페인이 중요한 이유:
피해자들은 다크 웹 (dark web) 포럼을 탐색하거나 크랙 (cracks)을 다운로드하고 있었던 것이 아닙니다.

그들은 합법적인 AI 도구를 검색하고 있었습니다.

이것이 악성 광고 (malvertising)가 효과적인 이유입니다: 소프트웨어를 설치할 준비가 된 정확한 순간에 의도가 높은 사용자들을 타겟팅하기 때문입니다.

이 캠페인은 일반적인 사용자 행동을 초기 침투 경로 (initial access path)로 바꾸어 놓았습니다.

Windows 체인:

Windows 페이로드는 다음과 같이 배포되었습니다:

Chat_GPT.exe

보고된 SHA-256:

56CC26E88C064B0C423AA8AD6530E58F91D1E4D28FAB1A8BCEDEF16A6582B4D2

추가로 보고된 Windows 해시:

c9e0e6985dca3a179c9bdea4e7b38f7dc57fe00ecedc2fd634256fc53bf2de2d

중요: 해시는 분류 (triage)에는 유용하지만, 방어에 충분하지는 않습니다. 캠페인은 샘플을 교체합니다. 행위 기반으로 탐색(Hunt)하십시오.

Windows 기술적 관찰 사항:

• Inno Setup으로 빌드된 설치 프로그램
• Electron 기반 애플리케이션
• Chromium 런타임 구성 요소
• resources\app.asar 아카이브
• winter.js로 식별된 대규모 난독화된 JavaScript 페이로드 (payload)
• 16진수 인코딩된 문자열 (Hex-encoded strings)
• 동적으로 해결되는 함수 (Dynamically resolved functions)
• 제어 흐름 난독화 (Control-flow obfuscation)
• 이벤트 기반 실행 (Event-driven execution)
• 핵심 동작 전 CAPTCHA 관문 설치
• 설치 후 내부 Electron 페이로드 (App.exe) 실행
• CAPTCHA 완료 후 PowerShell 생성

관찰된 PowerShell 패턴:

-ExecutionPolicy Unrestricted -Command -

마지막의 대시(-)가 중요합니다.

이는 명령어가 프로세스 명령줄에 직접 나타나기보다 표준 입력 (standard input)을 통해 제공될 수 있음을 시사합니다.

이는 명령줄 전용 탐지의 가치를 떨어뜨리며, 프로세스 트리 및 행위 모니터링을 훨씬 더 중요하게 만듭니다.

정적 위험 신호 (Static red flags):

파일명은 ChatGPT를 암시했지만, 포함된 메타데이터에 따르면 설치 프로그램은 다음과 같이 식별되었습니다:

PovariEGLESVapp Setup

실행 파일은 다음 주체에 의해 서명되었습니다:
F.F.A.P. Hurkmans Beheer B.V.
해당 게시자는 OpenAI 또는 ChatGPT와 일치하지 않습니다.
중요한 상기 사항: 유효한 코드 서명 (code signature)이 소프트웨어가 안전하다는 것을 의미하지는 않습니다.
이는 단지 파일이 인증서에 의해 서명되었으며 서명 이후 수정되지 않았음을 확인해 줄 뿐입니다. 해당 소프트웨어가 모방하는 브랜드에 의해 정당하거나 승인되었음을 입증하지는 않습니다.

추가 Windows 지표:
• App.exe SHA-256:
D9AD44D43E57B870793FA5CF7FB3A813990D0CBD0C7087BDE70A5E61FB1F1FE6
• 예기치 않은 Chromium/Electron 프로필:
%APPDATA%\Satoshi
• 추가로 보고된 경로:
%APPDATA%\LeronApplication

• 보고된 Electron/Node 기능:

systeminformation, child_process, os, fs, zip-lib, http, https

해당 모듈들은 시스템 탐색 (system discovery), 파일 액세스 (file access), 아카이브 처리 (archive handling), 프로세스 실행 (process execution), 그리고 네트워크 통신 (network communication)이 가능한 실행 환경임을 나타냅니다.

macOS 체인:

macOS 페이로드 (payload)는 다음과 같이 전달되었습니다:

ChatGpt.dmg

보고된 SHA-256:

7E5B708F6659B1FAD3AAE7B589A706434FBF21708AEEC5AF5910189B96E25FEF

추가로 보고된 macOS 해시:

c0919e1999eaee67e67aeda0287722775afb04e9a9a0f727928b4d11265fb70b

macOS 악성코드는 AMOS / Atomic Stealer의 포크 (fork) 버전인 Odyssey Stealer로 보고되었습니다.

보고된 macOS 타겟팅 대상은 다음과 같습니다:

• 브라우저 비밀번호 (Browser passwords)
• 브라우저 쿠키 (Browser cookies)
• 저장된 로그인 정보 (Saved logins)
• macOS 키체인 데이터 (macOS keychain data)
• Telegram 세션 (Telegram sessions)
• 암호화폐 지갑 디렉토리 (Cryptocurrency wallet directories)
• 민감한 지갑/키 확장자를 가진 데스크톱/문서 파일 (Desktop/Documents files with sensitive wallet/key extensions)
• Ledger Live
• Trezor Suite
• Exodus
• Electrum
• Sparrow

가장 위험한 macOS 동작:

지갑 교체 (Wallet replacement).

이 악성코드는 정상적인 지갑 관련 애플리케이션을 트로이 목마화된 (trojanized) 버전으로 교체하려고 시도하는 것으로 보고되었습니다.

이는 피해자가 나중에 평소와 다름없는 지갑 앱을 여는 것처럼 보이지만, 실제로는 공격자가 제어하는 버전을 실행하게 될 수 있음을 의미합니다.

이것은 단순한 자격 증명 탈취 (credential theft)가 아닙니다.

이는 장기적인 금융적 침해 (long-tail financial compromise)입니다.

인프라 (Infrastructure):

보고된 악성 도메인:

openew[.]app

보고된 인프라에는 다음이 포함됩니다:

144[.]172[.]104[.]205
188[.]137[.]246[.]189
192[.]253[.]248[.]181
172[.]94[.]9[.]250

인프라 참고 사항:

• 최근에 등록된 도메인
• Namecheap / registrar-servers 인프라 보고됨
• RouterHosting 인프라 보고됨
• Passive DNS를 통해 다른 의심스럽거나 악성인 도메인과 연결된 인프라
• .app 도메인은 HTTPS를 요구하므로 브라우저에 자물쇠 아이콘이 표시됨

자물쇠 아이콘은 연결이 암호화되었음을 의미할 뿐입니다.

해당 사이트가 합법적임을 의미하지는 않습니다.

방어자를 위한 탐지 기회:

Downloads, Temp 또는 기타 사용자 쓰기 가능 경로에서 실행되는 새로 생성된 실행 파일 (executables)
내장된 메타데이터와 일치하지 않는 신뢰할 수 있는 브랜드의 파일명
설치 프로그램 게시자 불일치 (Installer publisher mismatch):
파일명은 ChatGPT이지만, 서명자 (signer)는 관련이 없음
스크립팅 엔진 (scripting engines)을 생성하는 Electron 앱:
powershell.exe
cmd.exe
osascript
bash
sh
zsh
다음 옵션을 사용하는 PowerShell:
-ExecutionPolicy Unrestricted
-Command -
다음과 같은 예기치 않은 Chromium/Electron 프로필 디렉토리:
%APPDATA%\Satoshi
%APPDATA%\LeronApplication
또는 기타 비정상적인 Electron 프로필 경로
대규모의 난독화된 JavaScript 번들 (JavaScript bundles)을 포함하는 app.asar 아카이브
악성 동작을 수행하기 전의 CAPTCHA 또는 사용자 상호작용 게이팅 (gating)
주요 소프트웨어 또는 AI 벤더를 사칭하는 신규 등록 도메인 (Newly registered domains)
공식 벤더 채널 대신 광고를 통해 소프트웨어를 설치하는 사용자
macOS에서의 의심스러운 지갑 앱 (wallet-app) 교체 시도
설치 후 저가형 VPS 인프라로의 네트워크 트래픽
가짜 지원, 서비스 중단, 업데이트 또는 설치 페이지를 렌더링하는 합법적인 AI 공유 URL
스캐너에게는 실제 브라우저와 다른 콘텐츠를 보여주는 다운로드 페이지

핵심 방어 포인트:

해시 (hashes)나 정적 문자열 (static strings)에만 의존하여 탐지 규칙을 만들지 마십시오.

이 캠페인은 다음과 같은 방식을 통해 정적 분석 (static analysis)의 가치를 떨어뜨립니다:

• 난독화 (Obfuscation)
• 런타임 문자열 생성 (Runtime string construction)
• CAPTCHA 게이팅 (CAPTCHA gating)
• Electron 패키징 (Electron packaging)
• 조건부 실행 (Conditional execution)
• 클로킹 (Cloaking)
• 단계별 페이로드 동작 (Staged payload behavior)
• 신뢰할 수 있는 도메인에서의 공유 링크 악용 (Shared-link abuse)

더 나은 접근 방식:

• 행위 기반 탐지 (Behavioral detection)
• 프로세스 트리 모니터링 (Process-tree monitoring)
• 부모-자식 프로세스 분석 (Parent-child process analysis)
• 스크립트 엔진 실행 모니터링 (Script-engine execution monitoring)
• 브라우저/다운로드 소스 텔레메트리 (Browser/download source telemetry)
• 애플리케이션 제어 (Application control)
• 신규 등록 도메인 모니터링 (Newly registered domain monitoring)
• 게시자 및 메타데이터 검증 (Publisher and metadata validation)
• Electron에서 셸 (shell) 실행에 대한 EDR 탐지
• 전달 페이지로 사용되는 AI 플랫폼 공유 링크 모니터링

사용자를 위한 지침:

ChatGPT는 오직 공식 OpenAI 채널 또는 Microsoft Store를 통해서만 다운로드하십시오.

광고, 미러 사이트, 다운로드 포털, 생소한 도메인, 또는 가짜 지원/서비스 중단 페이지에서 소프트웨어를 설치하지 마십시오.

만약 광고나 생소한 페이지에서 “ChatGPT” 앱을 설치했다면:

깨끗한 기기를 사용하고 다음을 수행하십시오:

• 주요 계정에서 모든 기기 로그아웃 (Sign out everywhere)
• 기본 이메일을 시작으로 비밀번호 변경
• API 키 (API keys), SSH 키 (SSH keys), 클라우드 자격 증명 (cloud credentials) 및 토큰 (tokens) 교체
• 이메일, GitHub, 클라우드, Discord, Telegram, 암호화폐 거래소, 은행 및 비밀번호 관리자 (password managers)의 활성 세션 취소
• 깨끗한 기기를 사용하여 암호화폐 자금 이동
• 감염되었을 가능성이 있는 Mac에서 Ledger/Trezor 앱을 실행하지 마십시오
• 금융 계정 모니터링
• 운영체제 (OS) 재설치
• 업무용 기기였다면 즉시 IT/보안 부서에 알림

AI 벤더 및 플랫폼 소유자를 위한 지침:
이는 이제 제품 보안 경계 (product security perimeter)의 일부입니다.
브랜드 사칭 (Brand impersonation), 악성 검색 광고 (malicious search ads), 가짜 다운로드 페이지, 클론 도메인 (clone domains), 그리고 공유된 AI 콘텐츠의 남용은 현재 활발히 이용되는 유포 채널입니다.

실질적인 통제 방안:

• 공식 다운로드 링크를 찾기 쉽게 만드십시오
• 새로 등록된 유사 도메인 (lookalike domains)을 모니터링하십시오
• 공유 콘텐츠 기능의 남용을 탐지하십시오
• 신속하게 삭제 요청 (takedowns)을 수행하십시오
• 명확한 다운로드 가이드를 게시하십시오
• 서명된 설치 프로그램 (signed-installer) 검증 가이드를 제공하십시오
• 검색/광고 플랫폼과 협력하십시오
• 주요 사칭 캠페인이 활성화되었을 때 사용자에게 경고하십시오

결론:
공격자들은 단순히 ChatGPT만을 악용하는 것이 아닙니다.
그들은 빠르게 진행되는 AI 도입 과정에서의 신뢰, 긴급함, 그리고 혼란을 악용하고 있습니다.
오늘은 ChatGPT입니다.
어제는 또 다른 AI 도구였습니다.
내일은 다음 트렌드 제품이 될 것입니다.

멀웨어 (malware)는 변할 수 있습니다.
도메인 (domain)은 변할 수 있습니다.
페이로드 (payload)는 변할 수 있습니다.
브랜드 (brand)는 변할 수 있습니다.
인프라 (infrastructure)는 변할 수 있습니다.

방어적 사고방식 또한 변해야 합니다:

기존:

“이 파일이 알려진 악성 파일인가?”

에서:

변경:

“이 동작이 이 소프트웨어, 이 게시자, 이 사용자, 이 출처, 그리고 이 실행 컨텍스트 (execution context)에 있어 정당한 것인가?”

이것이 시그니처 기반 대응 (signature-based reaction)과 현대적 탐지 엔지니어링 (detection engineering)의 차이입니다.

이 분석은 Malwarebytes Labs, Evalian SOC, Push Security, BleepingComputer, CybersecurityNews 및 OpenAI 문서의 보고를 바탕으로 작성되었습니다.

#사이버보안 #맬버터징 #위협인텔리전스

스폰서 검색 결과는 신뢰 경계가 아닙니다

요약

핵심 포인트

댓글