젠 디지털, 탈취된 기업 메일함 악용한 뱅킹 악성코드 공격 사례 분석
21종 블록체인 지갑주소 복사 시 공격자 주소로 로컬 바꿔치기
바이낸스 스마트체인 이용한 이더하이딩 기법으로 C2 은닉

[보안뉴스 김형근 기자] 글로벌 보안 기업 젠 디지털(Gen Digital)이 2026년 상반기 동안 벌어진 △탈취된 기업 메일함을 이용한 금융 악성코드 공격 △암호화폐 지갑 주소 바꿔치기 공격 등 두 가지 지능형 사이버 위협을 집중 분석해 발표했다. 두 공격 모두 시스템 자체를 뚫기보다 정상적 신뢰 구조를 악용했다는 공통점이 있다.


[출처: 젠 디지털]

첫 번째 금융 악성코드 캠페인은 공격자가 이미 장악한 실제 기업 메일함을 활용해 발신자 인증(SPF·DKIM) 시스템을 우회하는 수법을 사용했다. 메일에 포함된 첨부파일을 열면 자바스크립트(JavaScript)와 파워셸(PowerShell) 단계를 거쳐 게피에스(GepyS)로 추정되는 악성코드가 최종 실행되는 구조다.

공격자들은 피해 PC의 프록시 설정을 조작하고 브라우저 확장 프로그램을 설치해 웹뱅킹 세션에 직접 침투하는 방식으로 공격을 완성했다.

두 번째 캠페인은 러스트(Rust) 언어로 작성된 클립보드 탈취 프로그램(Clipper)을 이용해 21종 블록체인의 지갑 주소 복사 행위를 감시한 사례다. 피해자가 지갑 주소를 복사해 붙여넣는 순간, 로컬 환경(사용자 PC 내부)에서 악성코드가 공격자의 지갑 주소로 몰래 바꿔치기해 결제 대금을 가로챈다.

이 클립보드 악성코드는 바이낸스 스마트체인(Binance Smart Chain)의 스마트 컨트랙트(Smart Contract)에 명령제어(C2) 서버 주소를 숨기는 이더하이딩(EtherHiding) 기술을 악용한 것으로 확인됐다. 블록체인에 기록된 데이터는 삭제가 불가능하기 때문에 기존의 단순 도메인 차단 방식만으로는 C2 인프라를 완벽히 무력화하기 어렵다는 게 젠 디지털의 설명이다.

젠 디지털은 기업 보안 담당자들이 단편적 이벤트 대응을 넘어 메일 수신부터 실행, 프록시 변경까지 이어지는 전체 연쇄 공격 과정을 통합적으로 모니터링해야 한다고 강조했다.

아울러 암호화폐 이용자들에게는 주소의 앞뒤 몇 자리만 확인하는 기존 습관에서 벗어나, 서명 직전 최종 수신 지갑 주소 전체를 철저히 대조할 것을 권고했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>