SHub Reaper macOS 인포스틸러 분석

공격이 진행되는 방식: 다단계 감염 체인

SHub Reaper의 특징은 **취약점 공격이 아니라 사회공학(social engineering)**에 의존한다는 점이다. 즉 시스템을 직접 해킹하기보다 사용자가 스스로 악성 명령을 실행하게 만드는 방식이다.

일반적인 감염 흐름은 다음과 같은 단계로 진행된다.

1. 가짜 프로그램 설치 또는 보안 업데이트

사용자는 먼저 가짜 다운로드 페이지 또는 업데이트 안내를 접하게 된다.

연구자들이 확인한 미끼(lure) 예시는 다음과 같다.

• WeChat 또는 Miro 같은 앱의 가짜 설치 파일
• CleanMyMac을 사칭한 웹사이트
• Apple 보안 업데이트를 가장한 페이지

일부 공격에서는 **마이크로소프트 서비스처럼 보이도록 철자를 살짝 바꾼 도메인(typosquatting)**을 사용해 신뢰성을 높이기도 한다.

2. Terminal 명령을 붙여넣게 하는 ‘ClickFix’ 기법

많은 캠페인에서 공격자는 ClickFix라는 사회공학 기법을 사용한다.

웹페이지는 다음과 같은 메시지를 보여준다.

• “설치 문제를 해결하려면 아래 명령을 복사하세요”
• “보안 도구를 설치하려면 Terminal에 붙여넣으세요”

사용자가 명령을 붙여넣으면 실제로는 악성 스크립트 다운로드 및 실행이 이루어진다.

사용자가 직접 Terminal 명령을 실행했기 때문에 macOS의 일부 보안 경고가 정상적인 앱 실행 때처럼 작동하지 않을 수 있다.

3. 여러 단계로 실행되는 악성 스크립트

감염 과정은 보통 여러 단계의 스크립트 체인으로 구성된다.

예를 들어 다음과 같은 흐름이 보고됐다.

• 난독화된 curl 명령이 압축된 로더 다운로드
• 로더가 zsh 셸을 통해 실행
• 이후 AppleScript 기반 페이로드가 실행되어 실제 악성 기능 수행

이처럼 공격을 여러 단계로 나누면 분석과 탐지를 어렵게 만들 수 있다.

SHub Reaper가 노리는 데이터

이 악성코드의 목표는 금전적 가치가 높거나 계정 탈취에 활용 가능한 데이터다.

확인된 주요 표적은 다음과 같다.

• 브라우저 저장 비밀번호
• Apple Keychain 데이터
• iCloud 동기화 정보
• 로컬 문서 및 파일
• Telegram 같은 메신저 세션
• 암호화폐 지갑 및 지갑 애플리케이션

일부 공격에서는 정상 암호화폐 지갑 앱을 트로이 목마 버전으로 교체해 이후 복구 문구를 훔치거나 자금을 탈취하는 시도도 발견됐다.

지속성 확보와 탐지 회피 방식

연구자들에 따르면 SHub Reaper는 감염 후 시스템에 LaunchAgent를 설치해 자동 실행을 유지한다.

이 LaunchAgent는 종종 "GoogleUpdate" 같은 정상 서비스처럼 위장한다.

macOS에서 LaunchAgent는 사용자가 로그인할 때 자동으로 특정 프로그램을 실행하도록 하는 설정 파일이다. 따라서 악성코드가 여기에 등록되면 재부팅 이후에도 계속 실행될 수 있다.

또한 다음과 같은 방식으로 탐지를 회피한다.

• AppleScript와 정상 macOS 프로세스를 활용
• 공격을 여러 스크립트 단계로 분할
• 사용자가 직접 실행하는 Terminal 명령 사용

이 때문에 단순한 시그니처 기반 보안 도구가 즉시 탐지하기 어려울 수 있다.

왜 macOS 기본 보안을 우회할 수 있을까

Apple은 macOS에 여러 보안 기능을 포함하고 있다.

대표적인 예는 다음과 같다.

• Gatekeeper
• XProtect

이 시스템들은 일반적으로 다운로드된 앱을 검사하고 알려진 악성코드를 차단한다.

하지만 SHub Reaper 같은 공격은 다음과 같은 이유로 이를 우회할 수 있다.

• 앱 실행이 아닌 사용자 Terminal 명령으로 시작
• 악성 코드가 여러 단계로 전달됨
• 일부 구성요소가 정상 시스템 도구처럼 위장

즉 전통적인 악성 앱 설치 방식이 아니라 사용자 행동을 이용한 공격이기 때문에 방어를 우회하기 쉽다.

Mac 사용자가 해야 할 보안 수칙

이 공격은 기술적 취약점보다 사용자 속임수에 의존한다. 따라서 몇 가지 기본 습관만으로도 위험을 크게 줄일 수 있다.

1. 웹사이트에서 Terminal 명령을 복사해 실행하지 말 것
문제 해결이나 설치를 위해 Terminal 명령을 붙여넣으라고 하는 페이지는 매우 의심해야 한다.

2. 업데이트는 공식 경로만 사용
macOS Software Update, Mac App Store 또는 공식 개발사 사이트만 이용한다.

3. macOS와 브라우저를 항상 최신 상태로 유지
Apple은 XProtect와 XProtectRemediator를 통해 새로운 악성코드 탐지 규칙을 지속적으로 업데이트한다.

4. 계정과 지갑 활동 점검
의심스러운 명령을 실행했다면 깨끗한 기기에서 비밀번호를 변경하고 암호화폐 지갑 활동을 확인해야 한다.

5. 보안 소프트웨어 사용 고려
엔드포인트 보안 도구는 의심스러운 스크립트나 비정상 네트워크 활동을 탐지하는 데 도움이 될 수 있다.

점점 증가하는 macOS 인포스틸러 공격

SHub Reaper는 최근 보안 업계에서 관찰되는 더 큰 흐름을 보여준다. 공격자들이 macOS 환경을 겨냥한 전문적인 정보 탈취 악성코드를 점점 더 많이 개발하고 있다는 점이다.

Mac 사용자가 기억해야 할 핵심 교훈은 단순하다.

오늘날의 macOS 악성코드는 시스템을 뚫고 들어오기보다, 사용자가 스스로 문을 열게 만든다.