Unit 42가 밝힌 OfferLoader PPI 네트워크 — 유튜브 게이밍 채널 11곳과 SEO 포이즈닝으로 2년간 게이머 PC와 기업·정부 엔드포인트에 악성코드를 유포한 지하 경매 인프라의 작동 구조.
2026년 9월 9일, 팔로알토네트웍스 Unit 42가 "Untracked Nightmares"라는 제목의 리포트를 냈다. 이 리포트가 다루는 건 특정 악성코드 하나가 아니라, 최소 2년간 아무도 눈치채지 못한 유통망이다. 조직명 CL-CRI-1171. 이들은 게임 최적화 팁을 주는 유튜브 채널 11곳으로는 젊은 게이머를, 검색 결과 조작으로는 정상 소프트웨어를 찾는 업무 사용자까지 끌어들여 트로이 목마화된 설치 파일을 뿌렸다. 그 결과물은 개인 게이머의 PC뿐 아니라, 검색 경로를 타고 기업·정부 기관 엔드포인트까지 흘러 들어갔다.
이 조직이 고른 채널은 뻔한 크랙 사이트가 아니다. FPS(초당 프레임)를 올리는 법, 게임 충돌을 고치는 법, 플랫폼 설정을 조정하는 법 같은 실질적인 조언을 먼저 준다. 신뢰를 쌓은 다음에야 "최적화 도구" 다운로드를 유도한다. 여기에 SEO 포이즈닝, 즉 정상 소프트웨어를 검색했을 때 나오는 결과를 조작하는 수법을 병행해 검색 엔진 쪽 유입 통로까지 확보했다. 11개 채널이 합쳐서 수십만 구독자와 수백만 조회수를 보유하고 있었다는 점에서, 이 조직이 알고리즘 신뢰도 자체를 자산으로 취급했다는 걸 알 수 있다.
여기서 나오는 첫 번째 통찰은 "이게 왜 하나의 악성코드가 아니라 여러 개인가"다. OfferLoader는 Inno Setup 기반의 트로이 목마 설치 프로그램으로, 그 자체가 최종 페이로드가 아니라 배달 수단이다. Unit 42는 이걸 PPI(Pay-Per-Install), 즉 "설치당 지불" 네트워크로 규정했다. 지하 마켓플레이스에서 감염 기기에 대한 접근권을 경매에 부치면, 서로 다른 범죄 조직(구매자)이 그 위에 각자의 페이로드를 얹는 구조다. 그 결과 한 대의 감염 PC에서 크로스플랫폼 백도어 Insomnia RAT, WebSocket 터널링 도구 ARKTunnel, 크롬 하이재커 Docro Hijacker가 한꺼번에 나온다. 2026년 6월에 관측된 다른 감염에서는 GCleaner·Socks5Systemz라는 전혀 다른 조합이 내려왔다. 이건 단일 공격자의 침투가 아니라, 접근권 자체가 상품으로 거래되는 지하경제의 산출물이다.
두 번째 통찰은 규모다. Unit 42는 서로 다른 OfferLoader 샘플만 1만 개 이상 확인했다. 샘플마다 서로 다른 페이로드 조합을 실어 나를 수 있고, Unit 42는 이 숫자를 조사한 감염 몇 건보다 훨씬 큰 유통망이 돌고 있다는 신호로 봤다. ARKTunnel의 경우 50개 샘플이 1년에 걸쳐 만들어진 정황도 나왔는데, 흥미로운 건 이 도구가 LSB 스테가노그래피로 은닉돼 배포됐다는 점이다. 실행 파일을 디스크에 바로 떨구지 않고, BMP 이미지 리소스의 최하위 비트에 숨겨 둔 ZIP 압축 파일을 꺼내는 방식이다. ARKTunnel 본체는 그 압축 파일 안에 들어 있다.
세 번째 통찰은 자동 분석 회피 메커니즘이다. OfferLoader를 내려받기 전 단계의 유통 게이트는 방문자의 OS·브라우저·유입 도메인·검색어·IP를 Base64로 지문화한 click_id 값을 추적 URL에 담고, 이 값이 유효한 방문자에게만 로더 다운로드를 넘긴다. 스캐너·크롤러·분석가에게는 악성 파일 대신 정상 WinRAR 다운로드 페이지를 흉내 낸 미끼 페이지나 깨진 링크를 보여준다. 이 필터링 계층이 2년간 탐지를 피한 실질적 이유 중 하나다.
MITRE ATT&CK 관점에서 이 캠페인의 검색 유입 수법은 자원 개발(Resource Development) 전술의 T1608.006(Stage Capabilities: SEO Poisoning)에 해당한다. 문제는 이 유통망이 "개인 게이머 대상 크랙"이라는 틀에 갇혀 저평가되기 쉽다는 것이다. 실제로는 기업·중요 인프라·정부 기관 엔드포인트까지 오염됐다는 게 이번 리포트의 핵심이다. Unit 42가 조사를 시작한 서로 다른 두 조직의 감염은 게임이 아니라 정상 유틸리티 검색에서 출발했다. 사용자가 각각 블루투스 드라이버와 디스크 분석 도구 WinDirStat을 검색해 상위 결과를 눌렀고, 트로이 목마화된 설치 파일을 받았다. 직원이 검색 결과에서 무료 유틸리티를 직접 내려받는 일은 한국 기업 환경에서도 동일하게 발생하는 위험이다. 검색으로 찾은 유틸리티 설치를 허용하는 기업망이라면, 이런 유통 구조 자체를 차단 대상으로 볼 필요가 있다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.