정상 애플 공증까지 통과했던 이 스틸러는 이번엔 아이클라우드 캘린더에 명령을 숨겼다.
이 블로그는 지난 5월 클릭픽스가 macOS를 겨냥하다에서 정보탈취 악성코드 맥싱크(MacSync)가 2025년 11월부터 석 달 동안 세 차례 캠페인을 거치며 3세대까지 진화한 과정을 다뤘다. 그로부터 넉 달 뒤인 9월 24일, 카스퍼스키는 이 악성코드가 또 한 번 완전히 다른 모습으로 나타났다고 보고했다. 이번엔 스크립트가 아니라 스위프트로 컴파일된 바이너리였고, 가짜 암호화폐 지갑 앱과 애플 자체 서비스인 아이클라우드 캘린더까지 유포·통신 수단으로 끌어들였다.
5월 글에서 다룬 3세대(2026년 2월)까지는 API 키로 게이트를 건 C2, 인메모리 실행, 애플스크립트 프로토콜 우회가 핵심이었다. 이번 9월 버전은 여기서 한 단계 더 나아갔다. 스크립트 기반 드로퍼를 완전히 버리고 스위프트·오브젝티브-C로 작성된 네이티브 바이너리로 갈아탔고, 감염 단계도 다섯 단계로 늘었다.
공격은 '토리아(Toria)'라는 존재하지 않는 암호화폐 지갑 앱에서 시작한다. 공격자는 이 가짜 앱을 위한 전용 웹사이트를 만들고 X(옛 트위터)와 텔레그램에서 홍보했다. 이용자가 DMG 파일을 내려받아 실행하면, 내부에 컴파일된 JXA 스크립트가 XOR로 암호화된 URL을 복호화해 2차 드로퍼를 가져온다. 이 드로퍼는 안티디버깅 기법(PT_DENY_ATTACH)을 쓴다. 이어 AES-CBC로 암호화된 셸스크립트를 실행하고, 커브25519 기반 키교환으로 최종 페이로드를 복호화한다.
눈에 띄는 부분은 배포·명령 인프라다. 맥싱크는 애플의 공개 아이클라우드 캘린더(CalDAV)를 명령 전달 채널로 악용한다. 정상 서비스 트래픽에 숨어 있어 네트워크 관제만으로는 걸러내기 어렵다.
최종 페이로드는 두 개의 모듈로 나뉜다. 스위프트로 짠 정보탈취 모듈은 관리자 비밀번호 입력 창을 띄워 사용자를 속이고, macOS의 dscl 대신 PAM API를 직접 호출해 인증 정보를 가로챈다. 이렇게 얻은 권한으로 브라우저 기록·쿠키·저장된 로그인 정보, 크롬·브레이브의 암호화폐 지갑 확장 데이터, 텔레그램 대화 데이터, SSH·AWS·쿠버네티스 설정 파일, 키체인, 셸 히스토리까지 훑는다.
오브젝티브-C로 짠 백도어 모듈은 파인더(Finder) 아이콘으로 위장해 사용자 눈에 띄지 않는다. LaunchAgent 등록에 더해 .zshrc와 깃(Git) 훅에까지 자신을 심어 재부팅이나 저장소 작업 후에도 살아남는다. 원격 명령으로 브라우저 트래픽을 가로채는 중간자(MitM) 기능도 갖췄다.
이렇게 만들어진 감염 대상은 뚜렷하다. 크롬·브레이브에 저장된 지갑과 레저(Ledger) 지갑, 그리고 깃·AWS·쿠버네티스 설정 파일까지 노린다는 점에서 암호화폐 이용자와 개발자를 정조준했다.
맥싱크가 애플의 방어선을 뚫으려 한 시도는 이번이 처음이 아니다. 잼프(Jamf) 위협 연구팀은 지난해 12월, 화상통화 메신저 설치 프로그램으로 위장한 맥싱크 변종이 애플의 정식 공증(notarization)까지 통과한 사실을 확인했다. 개발자 팀 ID까지 발급받은 정상 서명 앱으로 위장해 게이트키퍼를 무력화한 것이다. 잼프의 신고 이후 애플은 해당 인증서를 취소했다. 이 변종은 5월 글에서 다룬 클릭픽스 3개 캠페인과는 별도 경로였다. 이번 9월 버전에서 공증 우회 여부는 카스퍼스키 보고서에 명시돼 있지 않지만, 제작자가 애플 서명 절차를 뚫어낸 전력이 있다는 점은 신버전을 대할 때도 감안할 부분이다.
카스퍼스키가 이번에 공개한 IOC를 애니런(ANY.RUN)·하이브리드 애널리시스 등 공개 샌드박스에서 조회해봤지만, 이 샘플에 대한 별도 동적분석 결과는 확인되지 않았다. 지금까지 나온 행위 정보는 카스퍼스키·잼프 등 개별 연구팀의 관측에 의존하고 있다.
맥싱크 혼자만의 흐름은 아니다. 시장을 오래 장악했던 아토믹 스틸러가 활동을 멈추자 그 자리를 메우려는 신흥 스틸러들이 늘고 있고, 한 집계는 macOS 인포스틸러 활동이 전년 대비 101% 늘었다고 봤다. 암호화폐 거래가 되돌릴 수 없다는 특성이 스틸러 제작자들에게는 매력적인 수익 모델이 됐다. 클릭픽스식 가짜 오류 창으로 이용자가 직접 터미널에 명령을 붙여넣게 유도하는 수법이나, 개발자를 노린 악성 npm 패키지도 같은 흐름 안에 있다.
국내에서도 macOS를 겨냥한 공격이 낯설지 않다. 지난 8월 이글루코퍼레이션은 북한과 연계된 것으로 추정되는 macOS 악성코드가 157개 암호화폐 지갑 확장 프로그램과 브라우저 데이터를 노렸다고 분석했다. 맥싱크와는 다른 악성코드지만, macOS와 암호화폐 이용자를 함께 겨냥하는 공격은 한국에서도 이미 나타났다.
잼프가 지난해 발견한 공증 통과 변종과 이번 9월 버전 사이에 얼마나 많은 변종이 더 있었는지는 확인되지 않는다. 공개된 샌드박스 분석 없이 개별 연구팀의 관측에만 의존해야 하는 상황도 당분간 이어질 것으로 보인다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.