Bybit가 macOS 사용자를 대상으로 한 악성 소프트웨어 공격을 공개했습니다: 'Claude Code'를 활용한 독자적인 발사체에 의한 다단계 침투입니다.

이 글을 읽으려면 6 분

Bybit 공식 자료에 따르면, Bybit 보안 운영 센터(SOC)가 macOS 사용자를 대상으로 한 복잡한 악성 소프트웨어 공격 활동을 발견했습니다.

원문 출처: bybit

바이비트 공식보에 따르면, 그들의 보안 운영 센터(SOC)가 macOS 사용자를 대상으로 한 복잡한 악성 소프트웨어 공격 활동을 발견했습니다. 공격자는 SEO 독령을 통해 악의적 웹사이트를 구글 검색 결과 상위로 밀어올려, 사용자가 AI 개발 도구 'Claude Code'를 검색할 때 위조된 설치 페이지로 유도되어 여러 단계의 공격 체인을 시작하였으며, 목표는 자격 증명, 암호화 자산 도난 및 장치의 장기간 제어 권한 획득이었습니다.

이 공격은 2026년 3월에 가장 먼저 발견되었습니다. 첫 번째 단계는 Mach-O 페이로드 실행기를 통해 osascript 기반의 정보 탈취 프로그램을 실행하였으며, AMOS, Banshee 등과 같은 패밀리 특징을 가지고 있어 브라우저 자격 증명, macOS 키 체인, 텔레그램 세션, VPN 설정 및 암호화 지갑 데이터를 탈취할 수 있었고, 브라우저 지갑 플러그인 250개 이상과 다양한 데스크톱 지갑에 대해 접근을 시도하였습니다.

두 번째 단계는 C++ 백도어 프로그램으로, 샌드박스 탐지 및 암호화 설정 기능이 있으며, 시스템 레벨 프록시를 통해 지속성을 유지하였으며, HTTP 폴링 방식을 통해 명령을 수신하였으며 원격 제어를 실현하였습니다.

바이비트는, 이번 사건에서 AI 보조 분석을 도입하였으며, 샘플 분류, 리버스 엔지니어링, IOC 추출 및 탐지 규칙 생성 등의 연평렬 전체 과정을 커버하여 분석 시간을 수 시간에서 약 40분으로 단축하였으며, 검출 및 완화 조치 배포를 당일 완료하였으며, 전반적인 효율이 약 70% 향상되었다고 밝혔습니다.

바이비트 그룹 리스크 및 보안 책임자 David Zong은 다음과 같이 말했습니다: "이러한 공격 활동을 가장 먼저 공개한 거래소 중 하나로 우리는 관련 발견을 공개함으로써 산업 전반의 방어 능력을 향상시키는 데 도움이 될 것으로 생각합니다. AI 보조 SOC를 통해 우리는 현재 위협 탐지부터 완전한 공격 체인 시각화를 하나의 주기 내에 달성하였습니다. 과거에는 여러 분석가가 교대로 역설, IOC 추출, 보고서 작성 및 규칙 생성을 완료하는 데 필요한 작업이, 이제 한 세션에서 가능해졌습니다. AI가 대량의 분석 작업을 처리하고, 분석가가 판단하고 확인하는 것이 효율적입니다. 향후 전체적인 보안은 'AI 대 AI 대결' 단계로 진입하여, AI를 활용한 방어가 트렌드가 될 것이라 생각됩니다. 바이비트는 보안 AI 분야에 대한 투자를 계속 확대하여, 위협 탐지를 분 단위 응답 및 자동화 지능 대응으로 진화시키고자 합니다."

조사 결과에 따르면, 공격자는 가짜 macOS 비밀번호 팝업을 사용하여 사회 공학 공격을 실시하였으며, 사용자 자격 증명을 캐시하였으며, 일부 경우에는 Ledger Live, Trezor Suite 등의 공식 지갑을 트로이목마 버전으로 교체하려 시도하였습니다.

이번 공격은 Chromium 기반 브라우저, Firefox, Safari, Apple Notes 및 로컬 민감 디렉토리를 대상으로 했습니다. 관련 악성 도메인과 C2 인프라가 처리되어 공개적으로 노출되었습니다. 이 공격은 간헐적인 HTTP 폴링 통신을 사용하여 감지를 어렵게 만들었습니다.

Bybit는 AI 도구 보급으로 인해 공격자가 개발자 그룹을 타겟팅하기 위해 검색 결과 조작을 하고 있다고 언급했습니다. 개발자는 코드, 인프라 및 자금 권한을 소유하고 있기 때문에 고가치 공격 대상이 되었습니다. Bybit은 3월 12일에 악성 인프라를 확인하고, 분석, 탐지 및 완화 조치를 동일 날에 마무리하며, 3월 20일에 상세한 방어 가이드를 공개하고 발표했습니다.