뜨거운 감자: 인기 있는 Windows 최적화 도구인 Wintoys의 개발자는 믿을 수 없을 정도로 실제처럼 보이는 복제 웹 사이트를 통해 수십 개의 인기 Windows 프로그램을 가장하는 정교한 사이버 범죄 활동을 발견했습니다. 사기 사이트는 사용자 개인 정보를 침해하고, 계정 정보를 도용하고, 암호화폐 지갑을 비울 수 있는 악성 코드를 배포하는 것으로 알려졌습니다.
Bogdan_X라는 개발자는 Windows 최신에 공식 Wintoys 페이지를 가장한 가짜 웹사이트를 발견한 후 조사가 시작되었다고 말했습니다. 사이트 기록을 추적한 결과 동일한 플레이북에 구축된 사기성 웹사이트 72개를 발견했으며, 그 중 일부는 의도적으로 실제 도메인에 대한 URL을 사용하여 자신을 사칭했습니다.
부끄러운 돈: 추가 클릭을 할 가치가 있는 다운로드 가능한 리소스를 만드는 것이 바로 이러한 종류의 계획입니다. TechSpot의 다운로드 섹션에 있는 모든 설치 프로그램은 개발자로부터 직접 가져오고, 맬웨어를 검사하고, Clean Downloads 정책에 따라 정크를 제거하므로 “공식” 링크가 실제로 명시된 위치로 연결되는지 여부를 추측할 필요가 없습니다.
이 계획의 보다 광범위한 버전은 지난 달 사이버 보안 회사인 Check Point Research에 의해 자세히 매핑되었습니다. 가짜 사이트는 인기 있는 Windows 소프트웨어와 관련된 검색을 위해 Google 및 기타 검색 엔진에서 작동하며 트래픽이 시작되면 해당 신뢰를 사용하여 악성 코드를 푸시한다는 것을 보여주었습니다. Wintoys 중심 클러스터와 더 넓은 Check Point 제품군 뒤에 동일한 운영자가 있는지, 아니면 별도의 그룹이 단순히 동일한 플레이북을 실행하고 있는지 여부는 아직 확인되지 않았습니다.
초기 단계에서는 사이트가 합법적인 다운로드로 연결됩니다. 사이트가 관련되면 운영자는 이러한 실제 링크를 사기성 링크로 조용히 대체합니다. 이러한 사기성 도메인 중 다수는 동일한 소유자에게 등록되어 있으며 실제 GitHub 리포지토리와 같은 실제 업스트림 리소스에 연결되어 있기 때문에 합법적인 모방 프로젝트와 구별하기가 더 어렵습니다.
일부 사이트에서는 Amazon CloudFront를 통해 다운로드 버튼 클릭을 가로채고 TDS(트래픽 분산 시스템)를 통해 연결을 리디렉션하는 JavaScript 스테이징 계층을 로드합니다. 그런 다음 TDS는 위치, 브라우저 유형 및 기타 신호를 기반으로 사용자를 악성 호스팅 인프라 또는 합법적인 리소스로 보냅니다.
Wintoys 외에도 이러한 방식으로 에뮬레이션할 수 있는 다른 인기 있는 Windows 프로그램으로는 PowerToys, CrystalDiskMark, EasyBCD, Lively Wallpaper 등이 있습니다. 더 넓은 생태계에 대한 Check Point의 자체 매핑에서는 Ghidra, dnSpy 및 SpiderFoot와 같은 보안 및 연구 도구에 대한 복제된 페이지도 발견했습니다. 이는 고급 사용자라도 악성 앱 및 웹 사이트에 면역되지 않는다는 점을 상기시켜 줍니다.
Check Point 연구원들은 인프라를 여러 악성 코드 계열에 연결했습니다. 강력한 분석 방지 보호 기능을 갖춘 복잡한 다단계 부트로더인 SessionGate는 주로 원치 않는 소프트웨어를 조용히 설치하는 데 사용되었습니다. 동일한 TDS의 다른 두 가지 분기로 인해 더 많은 악성 페이로드가 발생했습니다. 인기 있는 Lumma Stealer 제품군의 변종인 데이터 스틸러인 RemusStealer와 장치의 버퍼를 읽어 중복된 지갑 주소를 공격자가 제어하는 주소로 변경하는 암호화 도용 소프트웨어인 AnimateClipper입니다.
작업 범위는 VirusTotal 원격 측정에 명확하게 표시됩니다. 연구원들은 공개적으로 공유된 하위 집합에서만 관련 샘플에 대해 총 5,000건 이상의 제출을 기록했으며 실제 감염 건수는 더 높을 가능성이 있다고 말합니다. 첫 번째 샘플의 날짜는 2025년 8월로 거슬러 올라갑니다. 이는 해당 작업이 발견되기까지 약 1년 동안 진행되었음을 의미합니다.
모든 플랫폼에서 맬웨어 문제가 커지면서 평판이 좋고 검증된 소스에서 앱을 다운로드하는 것이 그 어느 때보다 중요해졌습니다. TechSpot의 다운로드 섹션에는 개발자가 직접 제공한 안전하고 깨끗하며 수정되지 않은 설치 프로그램이 포함되어 있으며 모든 파일에 맬웨어가 있는지 검사하고 매일 다시 확인하므로 안심하고 필요한 것을 얻을 수 있습니다.