기사 대표 이미지

코드마스터입니다. 핵심부터 짚겠습니다. 최근 구글 크롬 확장 프로그램을 통해 사용자의 가상자산(Crypto)을 탈취하는 'Silent Swap'이라는 악성 코드가 발견되었습니다. 이들은 단순한 해킹을 넘어, 사용자의 가장 기본적인 동작인 '복사 및 붙여넣기'를 조작하는 매우 정교한 공격 방식을 취하고 있습니다.

특히 가상자산 거래량이 세계 최고 수준인 한국 사용자들에게 이 공격은 매우 치명적입니다. 단순히 지갑 주소를 잘못 입력하는 실수를 넘어, 사용자가 인지하지 못하는 사이에 클립보드 내부의 데이터가 공격자의 주소로 치환되기 때문입니다. 이는 보안 아키텍렉처의 허점을 파고드는 전형적인 사례입니다.

클립보드 하이재킹: 'Silent Swap'의 기술적 메커니즘#



이 악성 프로그램의 정체는 'Google Notes'라는 유용한 도구로 위장한 크롬 확장 프로그램입니다. 겉보기에는 메모를 작성하고, 색상을 지정하며, 검색할 수 있는 평범한 기능을 제공합니다. 하지만 이 '정상적인 기능'은 사용자의 경계심을 허물기 위한 일종의 페이로드(Payload) 은닉 수단에 불 불과합니다.

기술적인 핵심은 '클립보드 재킹(Clipboard Jacking)'에 있습니다. 이 확장 프로그램은 브라우저의 백그라운드 스크립트를 통해 클립보드 모니터링을 수행합니다. 구체적으로는 정규 표현식(Regex)을 사용하여 클립보드에 복사된 문자열 중 26자에서 42자 사이의 영문 대소문자와 숫자가 혼합된 특정 패턴(가상자산 지갑 주소의 전형적인 형태)을 탐지합니다.

패턴이 탐지되는 즉시, 악성 스크립트는 클립보드 버퍼에 저장된 원래의 주소를 공격자가 미리 생성해 둔 공격용 지갑 주소로 실시간으로 교체(Swap)합니다. 사용자가 지갑 주소를 복사하여 거래소나 개인 지갑에 붙여넣는 순간, 사용자는 자신이 올바른 주소를 붙여넣었다고 믿지만 실제로는 공격자의 주소가 입력되는 것입니다.

이 과정은 사용자 인터페이스(UI)상에서 아무런 변화를 일으키지 않습니다. 즉, 사용자의 작업 흐름(Workflow)을 방해하지 않으면서도 데이터의 무결성을 파괴하는 매우 은밀한 공격입니다.

심층 분석: 확장 프로그램 아키텍처의 신뢰 모델 붕괴#



이번 사건을 통해 우리는 브라우저 확장 프로그램의 보안 아키텍처(Architecture)가 가진 근본적인 취약점을 다시금 확인하게 되었습니다. 크롬 웹 스토어와 같은 오픈소스 기반의 생태계는 편리함을 제공하지만, 동시에 검증되지 않은 코드가 사용자의 브라우저 권한 내로 침투하기 매우 쉬운 구조를 가지고 있습니다.

과거의 악성코드가 OS 레벨에서 시스템 파일을 변조하거나 프로세스를 가로챘다면, 'Silent Swap'과 같은 현대적인 브라우저 기반 악성코드는 사용자가 직접 허용한 '권한(Permissions)'을 악용합니다. 사용자가 확장 프로그램 설치 시 허용한 '클립보드 읽기/쓰기' 권지 권한이 곧 공격자의 무기가 되는 셈입니다. 이는 보안의 경계가 시스템 경계에서 애플리케이션 레이어로 이동했음을 의미합니다.

기존의 안티바이러스(AV) 솔루션이나 CI/CD 파이프라인 내의 보안 스캔만으로는 이러한 유형의 공격을 탐지하기 어렵습니다. 왜냐하면 확장 프로그램 자체는 정상적인 기능을 수행하는 코드를 포함하고 있으며, 악성 행위는 사용자의 특정 행동(복사/붙여넣기)이 발생할 때만 동적으로 트리거되기 때문입니다. 이는 탐지 엔진의 시그니처 기반 탐지를 무력화하는 매우 영리한 전략입니다.

여러분은 브라우저 확장 프로그램을 설치할 때, 해당 프로그램이 요구하는 권한을 얼마나 꼼꼼히 확인하시나요? 단순히 '편리해서'라는 이유로 권한을 무심코 승인하고 있지는 않으신가요?

실무자를 위한 보안 가이드 및 체크리스트#



가상자산을 다루는 엔지니어와 개인 투자자라면 다음의 체크리스트를 반드시 준수하여 자산 탈취를 방지해야 합니다.

  1. 확장 프로그램 권한 감사(Audit): 주기적으로 브라우저 설정에서 설치된 확장 프로그램 목록을 확인하십시오. 특히 '클립보드 접근'이나 '모든 웹사이트 데이터 읽기/변경' 권한을 요구하는 불필록한 메모장, 테마, 도구류는 즉시 삭제하십시오.
  2. 하드웨어 월렛(Hardware Wallet) 사용 권장: 소프트웨어 기반의 지갑보다는 물리적인 서명 과정이 필요한 하드웨어 월렛을 사용하십시오. 클립보드 조작이 발생하더라도, 최종 트랜잭션 승인 단계에서 화면에 표시된 주소를 직접 확인하는 절차를 거치면 공격을 차단할 수 있습니다.
  3. 주소 전체 검증(Full String Verification): 주소를 붙여넣은 후, 앞부분과 뒷부분 몇 글자만 확인하는 습관은 매우 위험합니다. 최근의 클립보드 재킹은 앞뒤 몇 글자만 다르게 생성하는 정교한 알고리즘을 사용합니다. 반드시 전체 문자열이 일치하는지 눈으로 확인하십시오.
  4. 출처 불분명한 확장 프로그램 설치 금지: 가급적 검증된 기업에서 제공하거나, 오픈소스 커뮤니티에서 오랫동안 신뢰를 쌓은 라이브러리 및 도구만을 사용하십시오.


필자의 한마디#



기술의 발전은 언제나 편리함을 가져오지만, 그 이면에는 항상 새로운 공격 벡터(Attack Vector)가 생성됩니다. 'Silent Swap' 사례는 우리가 신뢰하고 사용하는 도구들이 얼마나 쉽게 공격의 통로가 될 수 있는지를 보여주는 경종입니다. 보안은 단순히 소프트웨어를 설치하는 것이 아니라, 사용자의 검증 프로세스(Verification Process)를 설계하는 과정입니다.

앞으로 브라우저 제조사들이 확장 프로그램의 샌드박스(Sandbox) 구조를 어떻게 강화할지, 그리고 사용자들은 어떻게 이 거대한 신뢰의 위기를 극복할지 주목해야 합니다. 실무 관점에서 결론은 명확합니다. 의심하고, 검증하고, 다시 확인하십시오. 댓글로 여러분의 보안 노하우를 공유해 주세요. 코드마스터였습니다.

출처: "https://www.techradar.com/pro/security/this-malicious-google-notes-extension-just-wants-to-sneakily-steal-all-your-crypto"
Sponsored Advertisement