2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6]. 2025년 말부터 활동을 시작해 5,000건 이상의 VirusTotal 제출 기록을 남겼으며, 터키, 폴란드, 브라질, 독일 등지에서 광범위한 피해자가 발생한 대규모 트래픽 수익화 작전이다 [6].
2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6].
2025년 말부터 활동을 시작해 5,000건 이상의 VirusTotal 제출 기록을 남겼으며, 터키, 폴란드, 브라질, 독일 등지에서 광범위한 피해자가 발생한 대규모 트래픽 수익화 작전이다 [6].
공격은 검색 결과에서 시작되며, CloudFront에 호스팅된 자바스크립트가 다운로드 버튼의 첫 클릭을 납치하고, 다중 계층 분석 방지 기능을 갖춘 TDS가 사용자를 선별한 뒤 최종 악성 페이로드를 전달한다 [6][7].
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
이제는 검색 엔진에서 ‘Ghidra’나 ‘SpiderFoot’ 같은 신뢰받는 오픈소스 보안 도구를 내려받는 일조차 고위험 활동이 되었다. 사이버 보안 연구 기관 체크 포인트(Check Point) 가 2026년 6월 3일자 보고서를 통해 공개한 정황에 따르면, 바로 그 신뢰를 악용하는 정교하고 광범위한 악성코드 유포 캠페인이 진행 중이다. 이 작전은 전문적으로 디자인된 가짜 사이트들을 네트워크처럼 연결해 사용자 트래픽을 가로채고, 다중 필터링 시스템을 통과시켜 선별적으로 악성 페이로드를 전달한다 .
이 캠페인은 단순한 피싱 수준이 아니다. 검색 엔진 조작, 아마존 CloudFront 기반 자바스크립트를 이용한 클릭 납치, 그리고 탐지를 회피하기 위한 다계층 분석 방지 기능을 갖춘 트래픽 분배 시스템(TDS, Traffic Distribution System) 을 결합해, 가치가 높은 표적만을 골라 공격한다. 체크 포인트는 이 작전이 근본적으로 트래픽을 확보하여 금전적 이득을 취하는 체계이자 다른 악성코드 유포자들을 위한 일종의 유통망 역할을 한다고 평가한다 .
공격 체인: 검색 클릭부터 악성코드 감염까지
감염은 사용자가 유명 오픈소스 도구를 검색하는 순간부터 시작된다. 공격자들은 등의 합법적인 프로젝트 페이지를 그대로 베낀 가짜 사이트들을 대량으로 배포해 두었다. 이 사이트들은 디자인이 훌륭하고, 실제 원본 자료를 참조하는 경우가 많아 한눈에 보기에는 진짜 프로젝트 포털과 구분하기 어려우며, 검색 결과에서도 상위에 랭크된다 .
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"해커들이 오픈소스 도구 사칭 사이트로 클릭을 납치하고 악성코드를 유포하는 방법"에 대한 짧은 대답은 무엇입니까?
2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6].
먼저 검증할 핵심 포인트는 무엇인가요?
2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6]. 2025년 말부터 활동을 시작해 5,000건 이상의 VirusTotal 제출 기록을 남겼으며, 터키, 폴란드, 브라질, 독일 등지에서 광범위한 피해자가 발생한 대규모 트래픽 수익화 작전이다 [6].
실무에서는 다음으로 무엇을 해야 합니까?
공격은 검색 결과에서 시작되며, CloudFront에 호스팅된 자바스크립트가 다운로드 버튼의 첫 클릭을 납치하고, 다중 계층 분석 방지 기능을 갖춘 TDS가 사용자를 선별한 뒤 최종 악성 페이로드를 전달한다 [6][7].
2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6]. 2025년 말부터 활동을 시작해 5,000건 이상의 VirusTotal 제출 기록을 남겼으며, 터키, 폴란드, 브라질, 독일 등지에서 광범위한 피해자가 발생한 대규모 트래픽 수익화 작전이다 [6].
2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6].
2025년 말부터 활동을 시작해 5,000건 이상의 VirusTotal 제출 기록을 남겼으며, 터키, 폴란드, 브라질, 독일 등지에서 광범위한 피해자가 발생한 대규모 트래픽 수익화 작전이다 [6].
공격은 검색 결과에서 시작되며, CloudFront에 호스팅된 자바스크립트가 다운로드 버튼의 첫 클릭을 납치하고, 다중 계층 분석 방지 기능을 갖춘 TDS가 사용자를 선별한 뒤 최종 악성 페이로드를 전달한다 [6][7].
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
이제는 검색 엔진에서 ‘Ghidra’나 ‘SpiderFoot’ 같은 신뢰받는 오픈소스 보안 도구를 내려받는 일조차 고위험 활동이 되었다. 사이버 보안 연구 기관 체크 포인트(Check Point) 가 2026년 6월 3일자 보고서를 통해 공개한 정황에 따르면, 바로 그 신뢰를 악용하는 정교하고 광범위한 악성코드 유포 캠페인이 진행 중이다. 이 작전은 전문적으로 디자인된 가짜 사이트들을 네트워크처럼 연결해 사용자 트래픽을 가로채고, 다중 필터링 시스템을 통과시켜 선별적으로 악성 페이로드를 전달한다 .
이 캠페인은 단순한 피싱 수준이 아니다. 검색 엔진 조작, 아마존 CloudFront 기반 자바스크립트를 이용한 클릭 납치, 그리고 탐지를 회피하기 위한 다계층 분석 방지 기능을 갖춘 트래픽 분배 시스템(TDS, Traffic Distribution System) 을 결합해, 가치가 높은 표적만을 골라 공격한다. 체크 포인트는 이 작전이 근본적으로 트래픽을 확보하여 금전적 이득을 취하는 체계이자 다른 악성코드 유포자들을 위한 일종의 유통망 역할을 한다고 평가한다 .
공격 체인: 검색 클릭부터 악성코드 감염까지
감염은 사용자가 유명 오픈소스 도구를 검색하는 순간부터 시작된다. 공격자들은 등의 합법적인 프로젝트 페이지를 그대로 베낀 가짜 사이트들을 대량으로 배포해 두었다. 이 사이트들은 디자인이 훌륭하고, 실제 원본 자료를 참조하는 경우가 많아 한눈에 보기에는 진짜 프로젝트 포털과 구분하기 어려우며, 검색 결과에서도 상위에 랭크된다 .
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"해커들이 오픈소스 도구 사칭 사이트로 클릭을 납치하고 악성코드를 유포하는 방법"에 대한 짧은 대답은 무엇입니까?
2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6].
먼저 검증할 핵심 포인트는 무엇인가요?
2026년 6월 3일 체크 포인트가 적발한 이 캠페인은 Ghidra 같은 보안 도구의 가짜 사이트를 이용해 사용자를 게이트형 트래픽 분배 시스템(TDS)으로 유도, 정보 탈취형 악성코드 등을 유포한다 [6]. 2025년 말부터 활동을 시작해 5,000건 이상의 VirusTotal 제출 기록을 남겼으며, 터키, 폴란드, 브라질, 독일 등지에서 광범위한 피해자가 발생한 대규모 트래픽 수익화 작전이다 [6].
실무에서는 다음으로 무엇을 해야 합니까?
공격은 검색 결과에서 시작되며, CloudFront에 호스팅된 자바스크립트가 다운로드 버튼의 첫 클릭을 납치하고, 다중 계층 분석 방지 기능을 갖춘 TDS가 사용자를 선별한 뒤 최종 악성 페이로드를 전달한다 [6][7].
기술적인 속임수는 사용자의 클릭과 동시에 발동한다. 사용자가 이런 가짜 사이트에서 ‘다운로드’ 버튼을 클릭하면, CloudFront에 호스팅된 자바스크립트 레이어가 그 첫 클릭을 가로채어 공격자들의 TDS 인프라로 연결해 버린다 .
게이트형 트래픽 분배 시스템: 고가치 표적만 골라내는 필터
TDS는 단순한 리다이렉트(redirect) 장치가 아니라, 정교한 관문 역할을 수행한다. 체크 포인트의 분석에 따르면, 이 시스템은 실제 피해자와 보안 연구원, 샌드박스, 자동화된 크롤러를 구분하기 위해 다계층의 분석 방지 필터를 적용한다. 이 필터를 통과한 사용자만이 최종 악성 페이로드가 있는 곳으로 이동하게 된다 . 이러한 선별적 전달 방식은 캠페인의 지도를 어렵게 만들고, 성공적인 감염 하나하나의 ‘가치’를 높인다. 탐지를 더욱 어렵게 하기 위해, 세션별 키나 일회성 키 배포 같은 기법도 동원된다 .
3종 악성코드: RemusStealer, AnimateClipper, 그리고 SessionGate
이 캠페인에서는 각기 다른 방식으로 수익을 창출하는 세 가지 악성코드가 유포되는 것으로 관찰되었다.
RemusStealer: 구독형 악성코드 서비스(MaaS) 방식으로 250~500달러에 판매되는 정보 탈취형 악성코드다. 20종 이상의 웹 브라우저, 220개가 넘는 암호화폐 지갑 확장 프로그램, 각종 비밀번호 관리자 및 이중 인증(2FA) 도구에 저장된 민감 정보를 집요하게 훔쳐 간다 .
AnimateClipper: 실시간으로 암호화폐 거래를 가로채는 클리퍼(Clipper) 악성코드다. 사용자가 복사한 암호화폐 지갑 주소를 공격자의 주소로 순간적으로 바꿔치기하며, 20개 이상의 다양한 블록체인 생태계에서 거래를 감시하고 가로챌 수 있다 .
SessionGate: 이전에 보고된 적 없는 프레임워크로, 강력한 난독화와 광범위한 분석 방지 기능으로 무장한 다단계 로더(Loader)다. 잠재적 원치 않는 프로그램(PUA)이나 다른 페이로드를 전달하기 위한 최초 침투 및 로더 역할을 수행한다 .
광범위하고 장기적인 글로벌 작전
이 캠페인의 규모는 심각한 수준이다. 체크 포인트에 따르면 이 생태계는 2025년 말부터 활동을 시작했으며, 벌써 5,000건 이상의 VirusTotal 제출 기록을 생성했을 만큼 피해자 풀이 광범위하다. 주요 표적 지역은 전 세계로, 터키, 폴란드, 브라질, 독일, 프랑스, 러시아, 영국에서 특히 활발한 활동이 포착되었다 .
개발자와 보안 전문가가 얻을 교훈은 명확하고 시급하다. 검색 결과만 믿고 아무 도구나 가볍게 다운로드하던 시대는 끝났다. 사용자는 자신이 방문한 곳이 공식 프로젝트 저장소인지 반드시 확인해야 하고, 기억하는 깃허브(GitHub)나 깃랩(GitLab) 페이지로 직접 찾아가야 하며, 다운로드 버튼을 눌렀는데 예상한 파일이 즉시 나타나지 않는다면 의심해야 한다. 정교한 가짜 사이트들의 ‘프로다운’ 디자인은 시각적 검사만으로는 훔쳐진 신뢰와 자동화된 기만으로 구축된 생태계 앞에서 속수무책이라는 사실을 보여준다.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
기술적인 속임수는 사용자의 클릭과 동시에 발동한다. 사용자가 이런 가짜 사이트에서 ‘다운로드’ 버튼을 클릭하면, CloudFront에 호스팅된 자바스크립트 레이어가 그 첫 클릭을 가로채어 공격자들의 TDS 인프라로 연결해 버린다 .
게이트형 트래픽 분배 시스템: 고가치 표적만 골라내는 필터
TDS는 단순한 리다이렉트(redirect) 장치가 아니라, 정교한 관문 역할을 수행한다. 체크 포인트의 분석에 따르면, 이 시스템은 실제 피해자와 보안 연구원, 샌드박스, 자동화된 크롤러를 구분하기 위해 다계층의 분석 방지 필터를 적용한다. 이 필터를 통과한 사용자만이 최종 악성 페이로드가 있는 곳으로 이동하게 된다 . 이러한 선별적 전달 방식은 캠페인의 지도를 어렵게 만들고, 성공적인 감염 하나하나의 ‘가치’를 높인다. 탐지를 더욱 어렵게 하기 위해, 세션별 키나 일회성 키 배포 같은 기법도 동원된다 .
3종 악성코드: RemusStealer, AnimateClipper, 그리고 SessionGate
이 캠페인에서는 각기 다른 방식으로 수익을 창출하는 세 가지 악성코드가 유포되는 것으로 관찰되었다.
RemusStealer: 구독형 악성코드 서비스(MaaS) 방식으로 250~500달러에 판매되는 정보 탈취형 악성코드다. 20종 이상의 웹 브라우저, 220개가 넘는 암호화폐 지갑 확장 프로그램, 각종 비밀번호 관리자 및 이중 인증(2FA) 도구에 저장된 민감 정보를 집요하게 훔쳐 간다 .
AnimateClipper: 실시간으로 암호화폐 거래를 가로채는 클리퍼(Clipper) 악성코드다. 사용자가 복사한 암호화폐 지갑 주소를 공격자의 주소로 순간적으로 바꿔치기하며, 20개 이상의 다양한 블록체인 생태계에서 거래를 감시하고 가로챌 수 있다 .
SessionGate: 이전에 보고된 적 없는 프레임워크로, 강력한 난독화와 광범위한 분석 방지 기능으로 무장한 다단계 로더(Loader)다. 잠재적 원치 않는 프로그램(PUA)이나 다른 페이로드를 전달하기 위한 최초 침투 및 로더 역할을 수행한다 .
광범위하고 장기적인 글로벌 작전
이 캠페인의 규모는 심각한 수준이다. 체크 포인트에 따르면 이 생태계는 2025년 말부터 활동을 시작했으며, 벌써 5,000건 이상의 VirusTotal 제출 기록을 생성했을 만큼 피해자 풀이 광범위하다. 주요 표적 지역은 전 세계로, 터키, 폴란드, 브라질, 독일, 프랑스, 러시아, 영국에서 특히 활발한 활동이 포착되었다 .
개발자와 보안 전문가가 얻을 교훈은 명확하고 시급하다. 검색 결과만 믿고 아무 도구나 가볍게 다운로드하던 시대는 끝났다. 사용자는 자신이 방문한 곳이 공식 프로젝트 저장소인지 반드시 확인해야 하고, 기억하는 깃허브(GitHub)나 깃랩(GitLab) 페이지로 직접 찾아가야 하며, 다운로드 버튼을 눌렀는데 예상한 파일이 즉시 나타나지 않는다면 의심해야 한다. 정교한 가짜 사이트들의 ‘프로다운’ 디자인은 시각적 검사만으로는 훔쳐진 신뢰와 자동화된 기만으로 구축된 생태계 앞에서 속수무책이라는 사실을 보여준다.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
