카스퍼스키, 암호화폐 사용자 겨냥 악성 프레임워크 '오코봇(OkoBot)' 공개

2026년 07월 28일

▲ 오코봇(OkoBot) 공격에서 사용된 시드 문구 복구용 피싱 페이지

글로벌 사이버 보안 기업 카스퍼스키(Kaspersky)는 글로벌 연구분석팀(GReAT)을 통해 암호화폐 지갑 애플리케이션 정보를 탈취하는 신종 악성 프레임워크 오코봇(OkoBot)을 포착했다고 발표했다. 이번에 발견된 오코봇은 수십 개의 악성 페이로드와 모듈로 구성되어 있으며 브라우저 모니터링, 화면 녹화, 계정 정보 탈취 등 고도화된 공격 기능을 수행한다. 현재까지 전 세계 25개국 이상에서 수백 명의 피해자가 발생했으며, 주요 감염 지역으로는 브라질, 베트남, 캐나다, 멕시코, 튀르키예 등이 확인됐다.

복합 모듈 구성과 정교한 최초 침투 기법

오코봇 프레임워크는 암호화폐 지갑의 복구용 시드 문구를 추출하는 투피에스(TookPS) 및 웹브라우저를 모니터링하는 오코스파이웨어(OkoSpyware) 모듈 등을 포함하고 있다. 특히 브라우저 메모리를 변조해 악성 확장 프로그램을 은밀히 로드하는 기술을 탑재해 기존 보안 탐지를 회피한다. 최초 침투는 사회공학 기법을 활용해 사용자가 악성 코드를 직접 실행하도록 유도하는 클릭픽스(ClickFix) 공격이나, 깃허브(GitHub) 등에서 마이크로소프트 SQL 서버 매니지먼트 스튜디오(SSMS) 등 정상 소프트웨어로 위장한 가짜 설치 프로그램을 배포하는 방식으로 이루어진다.

하드웨어 지갑 타깃팅과 국내 보안 대응 과제

해당 프레임워크에 포함된 시드헌터 모듈은 시스템 프로세스를 모니터링하다가 트레저 스위트(Trezor Suite), 레저 라이브(Ledger Live) 등 공식 암호화폐 관리 프로그램에 임플란트를 삽입한다. 이후 하드웨어 지갑 연결이 감지되면 각 장치에 맞춤 설계된 위장 피싱 화면을 출력해 사용자의 시드 문구 입력을 유도하는 정교함을 보인다. 공격 주체는 명확히 특정되지 않았으나 코드 분석 과정에서 러시아어 흔적이 발견됐다.

카스퍼스키 글로벌 연구분석팀 드미트리 갈로프(Dmitry Galov) 러시아 CIS 담당 총괄 책임자는 "오코봇 캠페인은 개발자를 주요 공격 대상으로 삼아 지속해서 진화하고 있으며, 향후 더 많은 국가로 피해가 확대될 가능성이 크다"라고 경고했다.

카스퍼스키 이효은 한국지사장 역시 "한국은 암호화폐 투자자와 개발자 비중이 높아 주요 표적이 될 위험이 크다"라며 "출처가 불분명한 프로그램 설치를 지양하고 통합 보안 솔루션과 전용 비밀번호 관리 도구를 활용해 다중 모듈 공격에 대비해야 한다"라고 강조했다.