GitHub, YouTube 등을 악용한 가상화폐 탈취 악성코드 캠페인 분석. 공격자들은 가짜 별점, AI 튜토리얼 등으로 신뢰를 조작해 클립보드 하이재킹 악성코드를 유포. 국내 개발 생태계와 투자자에게 경고.
전문가 통찰 및 한줄평
이 악성코드 캠페인은 개발자 커뮤니티의 신뢰 시스템을 교묘하게 이용하며, 이는 국내 개발자 생태계에도 경종을 울립니다.
무분별한 코드 다운로드 대신, 소스코드 검증 절차 강화와 커뮤니티의 비판적 시각이 더욱 중요해졌습니다.
최근 IT 업계는 놀라운 기술 발전과 함께 보안 위협 또한 끊임없이 진화하고 있습니다.
특히 개발자들의 성지라 불리는 GitHub와 같은 플랫폼의 신뢰 시스템을 악용한 최신 사이버 공격 사례가 보고되어 주목받고 있습니다.
해외 보안 전문 기업 Check Point의 보고에 따르면, 사이버 범죄자들이 GitHub, YouTube, VirusTotal 등 신뢰받는 플랫폼들을 교묘하게 활용하여 가상화폐 탈취 악성코드를 유포하는 정황이 포착되었습니다.
이들은 가짜 GitHub 별점과 긍정적인 리뷰, 홍보성 YouTube 영상 등을 동원하여 사용자들이 자신도 모르는 사이에 악성 코드를 다운로드하고 실행하도록 유도했습니다.
가짜 GitHub 별점, 커뮤니티 신뢰를 파고들다
이번 공격의 핵심은 마치 합법적인 금융 거래나 투자를 돕는 도구인 것처럼 위장했다는 점입니다.
공격자들은 가상화폐 거래를 돕는 ‘스니퍼 봇’이나 온라인 베팅 게임의 승률을 예측한다는 ‘예측기’ 등의 이름으로 악성코드를 포장했습니다.
이러한 도구들은 사용자가 실제 돈을 벌 수 있다는 기대감을 심어주며 다운로드를 유도했습니다.
그러나 사용자에게 돌아온 것은 약속된 수익이 아니라, 클립보드 내용을 감시하다가 복사된 가상화폐 지갑 주소를 공격자의 지갑 주소로 바꿔치기하는 ‘클리퍼’ 악성코드였습니다.
이 악성코드는 윈도우와 macOS 모두를 지원했으며, 비트코인, 이더리움, 모네로 등 다양한 주요 가상화폐를 노렸습니다.
공격자들은 15,500개 이상의 지갑 주소 목록을 보유하고 있었으며, 거래가 완료되면 새로운 지갑으로 즉시 교체하는 치밀함까지 보였습니다.
신뢰도 조작, 다중 플랫폼 공략의 진화
이 캠페인의 독특한 점은 공격의 합법성을 가장하기 위해 투입된 막대한 노력입니다.
공격의 시작은 WordPress 기반의 피싱 웹사이트였지만, 실제 악성코드 다운로드는 GitHub와 SourceForge와 같은 코드 저장소를 통해 이루어졌습니다.
이곳에서 공격자들은 수많은 가짜 별점, 포크, 다운로드 수치 등을 조작하여 마치 인기 있는 프로젝트인 것처럼 보이게 만들었습니다.
또한, AI 음성으로 더빙된 YouTube 튜토리얼 영상을 통해 도구 사용법을 시연하며 신뢰도를 높였습니다.
심지어 VirusTotal과 같은 바이러스 검사 플랫폼에서도 긍정적인 투표와 댓글을 조작하여, 사용자들이 악성코드를 안전한 도구로 인식하도록 유도했습니다.
Check Point 연구원들은 “VirusTotal과 같은 플랫폼에서 사용자의 인식과 평판을 조작하는 능력은 위협 행위자들이 신뢰를 구축하는 방식의 중요한 진화를 보여준다”고 지적했습니다.
GitHub 별점 조작, 국내 개발 생태계에 미칠 영향
이러한 공격 방식은 GitHub의 ‘별점(Star)’ 시스템을 악용한 사례로, 국내 개발 생태계에도 큰 경종을 울립니다.
많은 국내 개발자들이 GitHub를 통해 오픈소스 프로젝트를 공유하고 협업하며, 새로운 기술 트렌드를 파악합니다.
검증되지 않은 프로젝트나 악성 코드가 마치 유용한 라이브러리나 프레임워크인 것처럼 포장되어 유포된다면, 이는 국내 개발자들의 생산성 저하는 물론, 개인 정보 유출 및 금전적 피해로 이어질 수 있습니다.
특히, 신규 프로젝트나 유명하지 않은 라이브러리를 도입할 때, GitHub의 별점이나 포크 수를 맹신하는 것은 매우 위험합니다.
실제로 국내 스타트업 현장에서는 GitHub의 인기 지표만을 보고 외부 라이브러리를 도입했다가 보안 취약점에 노출된 사례도 심심치 않게 찾아볼 수 있습니다.
따라서 국내 개발자들은 GitHub에서의 평판 지표를 단순히 참고하되, 코드의 출처, 커밋 기록, 이슈 트래커 활동 등을 다각적으로 검토하는 습관을 들여야 합니다.
YouTube 및 바이러스토탈, 신뢰도 조작의 확장
GitHub 외에도 YouTube 채널을 통한 홍보가 두드러졌습니다.
9만 명이 넘는 구독자를 보유한 채널에서 AI가 생성한 내레이션과 함께 데모 영상을 제공하며 마치 개인적인 튜토리얼인 것처럼 위장했습니다.
화면에는 AI 발표자가 등장하여 시연 과정을 단계별로 설명하며 시청자의 신뢰를 얻으려 했습니다.
또한, 2026년 4월 27일경 여러 뉴스 웹사이트에 해당 도구를 홍보하는 게시물이 등장하며, 단기간에 악성 소프트웨어를 집중적으로 유포하려는 조직적인 시도가 있었음을 시사합니다.
대부분의 기사는 삭제되었지만, 검색 결과에 흔적이 남아있습니다.
가상화폐 탈취 악성코드, 국내 투자자에게 주는 경고
이번 캠페인이 국내 가상화폐 투자자들에게 주는 경고는 명확합니다.
수익을 약속하는 검증되지 않은 투자 도구나 튜토리얼은 일단 의심해야 합니다.
가상화폐 시장은 변동성이 크고 복잡하기 때문에, 검증되지 않은 소프트웨어를 통해 ‘고수익’을 얻으려는 시도는 오히려 자산 손실로 이어질 가능성이 높습니다.
특히, GitHub에서 공개된 ‘투자 봇’이나 ‘예측 툴’ 등을 다운로드할 때는 매우 신중해야 합니다.
이들 역시 악성코드 유포의 통로가 될 수 있습니다.
국내 가상화폐 투자자들은 반드시 공식적인 거래소나 신뢰할 수 있는 기관에서 제공하는 정보를 바탕으로 투자해야 하며, 개인 지갑 주소 관리에도 만전을 기해야 합니다.
의심스러운 링크나 파일은 절대 클릭하거나 실행하지 않는 것이 최선입니다.
기술 동향 비교: 과거와 현재의 악성코드 유포 방식
| 구분 | 과거 악성코드 유포 방식 | 현재 악성코드 유포 방식 |
|---|---|---|
| 주요 유포 채널 | 이메일 첨부파일, 악성 웹사이트, 불법 다운로드 사이트 | GitHub, YouTube, VirusTotal, 소셜 미디어, 피싱 웹사이트, 합법적인 플랫폼의 신뢰 시스템 악용 |
| 악성코드 위장 형태 | 무료 소프트웨어, 게임 크랙, 유틸리티 | 금융 투자 도구 (스니퍼 봇, 예측기), 개발 라이브러리, 코딩 튜토리얼, AI 기반 도구 |
| 신뢰도 확보 전략 | 소수 유명 사이트 게시, 사용자 후기 조작 | AI 음성 튜토리얼, 조작된 GitHub 스타/다운로드 수, 긍정적 VirusTotal 리뷰, 뉴스 기사 홍보 |
| 탈취 대상 | 개인 정보, 금융 정보, 시스템 접근 권한 | 가상화폐 지갑 주소 (클립보드 하이재킹), 민감한 개발 정보 |
| 기술적 특징 | 일반적인 악성코드 기법 (트로이 목마, 키로거 등) | 클립보드 하이재킹 (Rust 기반), AI 생성 콘텐츠 활용, 다중 플랫폼 통합 공략 |
결론: 신뢰 시스템 재정립과 경각심 고취
이번 사건은 사이버 범죄자들이 단순히 기술적인 취약점을 넘어, 인간의 심리와 플랫폼의 신뢰 시스템까지 교묘하게 악용하고 있음을 보여줍니다.
GitHub와 같은 개발자 커뮤니티뿐만 아니라, YouTube, VirusTotal 등 다양한 플랫폼의 평판 시스템이 조작될 수 있다는 사실은 우리에게 큰 경각심을 일깨웁니다.
앞으로는 공식적인 소통 채널과 신뢰할 수 있는 출처를 통해 정보를 얻고, 검증되지 않은 소프트웨어나 도구의 사용에는 더욱 신중해야 할 것입니다.
자주 묻는 질문 (FAQ)
Q: GitHub에서 악성코드에 감염되지 않으려면 어떻게 해야 하나요?
A: GitHub에서 코드를 다운로드하기 전에 프로젝트의 별점, 포크 수, 커밋 기록, 이슈 트래커 활동, 그리고 기여자 목록을 꼼꼼히 확인하는 것이 좋습니다.
의심스러운 활동이 감지되거나 프로젝트가 새로 생성된 경우, 다운로드를 보류하고 추가적인 검증을 거치는 것이 안전합니다.
Q: AI 음성 튜토리얼이나 뉴스 기사를 통해 홍보되는 도구를 믿어도 될까요?
A: AI 생성 콘텐츠나 언론 기사를 통한 홍보는 신뢰도를 높이기 위한 공격자들의 전략일 수 있습니다.
이러한 정보는 참고 자료로 활용하되, 도구의 기능이나 출처에 대한 독립적인 검증이 필수적이며, 특히 금융 관련 도구라면 더욱 신중해야 합니다.
Q: 이번 사건이 국내 IT 기업이나 개발자들에게 미치는 영향은 무엇인가요?
A: 국내 IT 기업 및 개발자들은 오픈소스 라이브러리 도입 시 보안 검증 절차를 강화해야 하며, 개발자 커뮤니티 내에서도 소스코드의 안전성에 대한 비판적 시각을 유지하는 것이 중요합니다.
잠재적인 보안 위협에 대한 인식 제고와 함께, 내부 보안 정책 점검이 필요합니다.
Q: 가상화폐 지갑 주소가 자동으로 바뀌는 악성코드(클리퍼)를 어떻게 예방할 수 있나요?
A: 클리퍼 악성코드를 예방하기 위해서는 신뢰할 수 있는 백신 프로그램을 최신 상태로 유지하고, 의심스러운 링크나 파일을 열지 않아야 합니다.
또한, 가상화폐 거래 시에는 복사된 지갑 주소를 붙여넣은 후 반드시 거래소 앱 등에서 해당 주소를 재확인하는 습관을 들이는 것이 좋습니다.
출처: https://www.helpnetsecurity.com/2026/06/19/fake-github-stars-crypto-stealing-malware/
— 이 글과 관련된 추천 서비스 —
* 이 포스팅은 제휴 마케팅 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받을 수 있습니다. *