탈취된 HBO Max 공식 Reddit 계정의 광고로 드러난 대규모 'PasteSwitch' ClickFix 작전

본문

2026년 9월, 사이버보안 커뮤니티는 Reddit의 인증된 HBO Max 공식 계정(u/hbomax)이 탈취되어 약 48시간 동안 108개의 악성 광고를 게재한 대규모 malvertising 캠페인을 포착했습니다. Hudson Rock과 ADAMnetworks의 Kirk가 공동 분석한 결과, 이 사건은 macOS 스틸러, Windows 로더, 기만적 TLS 기법, 스마트 컨트랙트 기반 암호화폐 클리퍼를 포괄하는 'PasteSwitch'라 명명된 크로스플랫폼 전달 작전의 일부로 확인되었습니다.

발견 경위와 미끼 구성

사건은 Alex Cutts가 r/cybersecurity에 제보하면서 드러났습니다. 공식 Reddit 광고가 실제로는 존재하지 않는 'macOS용 HBO Max 네이티브 앱'을 홍보했고, 다운로드 버튼을 누르면 파일 전송 대신 터미널 명령어를 복사해 직접 실행하라는 ClickFix 프롬프트가 떴습니다. 검증된 기업 계정을 탈취함으로써 공격자는 광고에 대한 이용자의 초기 경계심을 우회했고, 이용자 스스로 코드를 실행하게 만들어 브라우저 기반 다운로드 보호도 무력화했습니다. OSINT 조사 결과 5개 미끼 도메인이 확인됐는데, hbomaxx[.]app 40건, codex-craft[.]com 36건, apple.clean-disk-guide[.]com 15건, code-desktop[.]com 11건, hbomax-macos[.]com 6건으로, 스트리밍 이용자뿐 아니라 AI 도구와 디스크 클리너를 찾는 개발자·파워유저를 겨냥했습니다.

PasteSwitch의 전달 구조

'PasteSwitch'라는 이름은 작전의 핵심 동작에서 왔습니다. 피해자가 공격자가 제공한 명령어를 붙여넣으면, 전달 시스템이 방문자 자격 판별 결과에 따라 플랫폼·캠페인·페이로드·수익화 경로를 동적으로 전환합니다. 미끼, 방문자 판별, 스테이징, 텔레메트리, 페이로드 전달, C2, 유출이 각각 분리된 서비스로 구성되어 있었습니다.

macOS 브랜치: MacSync·AMOS·가짜 지갑

macOS에서는 curl | zsh 형태의 명령이 주로 쓰였습니다. MacSync는 /dynamic?txd= 트랜잭션 토큰과 청크 업로드를 이용해 브라우저 자격증명, Gecko 프로파일, Telegram 데이터, Apple Notes, macOS 비밀번호를 /tmp/osalogging.zip으로 유출했으며, Zscaler·Microsoft·RST Cloud가 이전에 문서화한 캠페인과 동일한 실행 패턴을 보였습니다. AMOS Helper는 xattr -c와 chmod +x로 네이티브 헬퍼를 실행해 .com.apple.accountsd 경로로 지속성을 확보하고, /api/join/과 /api/tasks/<bot-id> 엔드포인트로 피해자를 지속 태스킹에 등록했습니다. 또한 loop-lumen[.]com 등의 경로로 Swift 기반 가짜 Ledger·Trezor Suite·Exodus 앱을 배포해 12·24단어 BIP39 복구 문구를 직접 탈취했습니다. filequanticore[.]com 같은 도메인에서는 DMG를 광고하는 겉보기 정상 페이지를 띄우면서 JavaScript가 복사용 악성 명령을 별도 텍스트 파일에서 불러와 단순 스캔을 회피했습니다.

Windows 브랜치: InstallFix와 Amatera

Windows 이용자로 판별되면 mshta와 PowerShell 경로로 전환됩니다. InstallFix는 MP3/HTA polyglot을 내려받게 한 뒤 예약 작업을 생성하고 32비트 PowerShell을 실행해 AMSI를 무력화하며, 컴퓨터명과 사용자명을 조합해 피해자별 서브도메인을 계산했습니다. 이후 스테이지는 arithmetic fog와 opaque predicates, 셸코드를 거쳐 Amatera Stealer PE를 디스크 기록 없이 메모리에 직접 주입했습니다. 특히 Amatera는 공격자 IP(77.91.65.13:443)에 직접 접속하면서 TLS SNI와 HTTP authority에는 facebook.com을 제시했고, Schannel을 SCH_CRED_MANUAL_CRED_VALIDATION으로 설정해 인증서 체인 검증을 우회했습니다. 결과적으로 네트워크 텔레메트리에는 Facebook 접속으로 기록되어 표준 SNI 기반 필터링을 회피합니다.

스마트 컨트랙트 C2 로테이션

복사·붙여넣기 시 암호화폐 주소를 바꿔치기하는 AnimateClipper와 ZigClipper는 Binance Smart Chain 컨트랙트를 가변 C2 데드드롭으로 활용했습니다. 악성코드가 getData()나 balanceOf(address)를 호출해 lb.propertyfind.cc 같은 현재 활성 C2 도메인을 조회하며, 2026년 3~7월 동일 컨트롤러 주소가 메인넷에서 36회의 변경을 실행한 것이 관측됐습니다. C2 도메인이 블록체인에 호스팅되므로 도메인이 소각돼도 즉시 교체 가능한 복원력을 확보한 셈입니다.

탐지 시사점과 대응

미끼와 도메인은 일회용이었지만 경로 문법, API 키, 헬퍼 식별자, 텔레메트리 엔드포인트, 스테이징 규칙, 태스크 프로토콜, 지속성 경로, 등록 패턴은 도메인 교체 후에도 반복됐습니다. 복사 명령 실행은 프로세스 계보로, 회전하는 macOS 호스트는 경로 토큰과 API 키로, 기만적 TLS는 목적지·SNI·인증서·DNS 상관관계로 노출되며, 컨트랙트 setter 모니터링으로는 새 클리퍼 C2 도메인을 게시 시점에 포착할 수 있습니다. Reddit 운영진은 커뮤니티 신고 이후 문제의 광고를 중단하고 보안팀과 함께 계정 보안 조사에 착수했습니다.

Reddit 반응

• @u/Hour-Swimmer7140 — 핵심은 광고가 아니라 인증 계정 자체입니다. 이용자들은 수년간 체크 표시가 '안전'을 뜻한다고 학습됐지만 실제로는 '결제가 완료됐다'는 뜻에 가깝습니다. 유료 광고 형태라 Reddit 자체 도메인 평판에 싸여 오기 때문에 '이상한 링크를 누르지 말라'는 교훈이 조용히 무력화됩니다.
• @u/Ghawblin — '광고를 클릭하지 말라'는 것은 30년째 인터넷 안전 수칙의 기본이지만, 광고를 누르는 행위 자체가 쉬운 표적을 골라내는 리트머스 시험이 되기도 합니다. 특히 인증 계정에서 나온 광고라면 더욱 그렇고, 소셜 미디어 부서의 누군가가 힘든 하루를 보낼 것 같습니다.
• @u/Wynd0w — 이전 직장의 마케팅팀이 얼마나 취약했는지 불평했던 이유입니다. SSO도 MFA도 없고 계정을 공유하면서 광고 집행과 고객 커뮤니케이션, SNS 게시까지 가능했습니다. 옛 동료들에게 이 기사를 보낼 예정입니다.
• @u/regalrecaller — 광고가 없는 구형 인터페이스(onion 주소의 old Reddit)를 쓰는 이유가 바로 이것입니다.

원문: infostealers.com (Hudson Rock) / 번역·요약: Trawling