암호화폐 거래에서 지갑 주소를 복사해 붙여넣는 일은 자연스럽습니다. Crypto Clipper는 바로 그 습관을 공격합니다. 기기 클립보드를 감시하다가 암호화폐 지갑 주소, 시드 문구, 개인키처럼 보이는 문자열을 찾고 이를 훔치거나 공격자에게 유리한 방식으로 악용합니다.1
Microsoft가 분석한 이번 캠페인은 단순한 “주소 바꿔치기” 악성코드보다 범위가 넓습니다. Windows 기반 암호화폐 클리퍼로, 2026년 2월부터 사용자에게 영향을 준 것으로 분석됐으며 USB 드라이브의 악성 .lnk 바로가기 파일을 통해 확산됐습니다.1 핵심은 클립보드 탈취, 웜 방식 전파, Tor 기반 통신이 결합됐다는 점입니다.
Crypto Clipper는 무엇을 노리나
클리퍼 악성코드는 클립보드 데이터를 훔치고 그 안에서 가치 있는 자산 패턴을 파싱하는 방식에 의존합니다.1 암호화폐 환경에서는 지갑 주소, 시드 문구, 개인키가 대표적인 표적입니다. 사용자가 주소를 복사하는 순간 악성코드가 이를 읽거나, 민감한 문자열을 발견하면 공격자 서버로 전송할 수 있습니다.
이번 Crypto Clipper는 감염 후 두 가지 구성요소를 배포합니다. 하나는 USB와 파일 바로가기를 이용해 확산되는 웜 구성요소이고, 다른 하나는 클립보드와 지갑 정보를 노리는 클리퍼/스틸러 구성요소입니다.1 즉, 단일 기능의 탈취 도구라기보다 감염 유지와 추가 확산까지 고려한 구조입니다.
웜 구성요소는 장치에서 찾은 정상 파일을 이용해 악성 바로가기 파일을 만들고, 실행 및 지속성을 위해 예약 작업을 생성합니다.1 사용자는 평범한 문서를 여는 것으로 생각할 수 있지만, 실제로는 악성 실행 흐름이 시작될 수 있습니다.
왜 방어가 까다로운가
이 캠페인의 특징은 전통적인 설치 프로그램이나 노출된 IP 기반 C2 인프라에 의존하지 않는다는 점입니다.1 악성코드는 Windows Script Host와 ActiveX 기반 로직으로 운영체제와 상호작용하며, 이름을 ugate.exe로 바꾼 Tor 바이너리를 숨김 창에서 실행합니다.1 이후 로컬 SOCKS5 프록시를 사용해 Tor 연결을 설정합니다.1
이 방식은 단순한 차단 목록 중심 방어를 어렵게 만듭니다. 공격 인프라가 노출된 일반 IP나 도메인 형태로만 보이지 않을 수 있기 때문입니다. 따라서 방어자는 특정 주소 차단만이 아니라 스크립트 엔진 실행, 숨김 창의 Tor 프로세스, 로컬 SOCKS5 프록시 사용, USB 기반 .lnk 실행 같은 행위 신호를 함께 봐야 합니다.
Crypto Clipper는 기본적인 안티분석 동작도 수행합니다. 작업 관리자가 실행 중이면 종료하는 방식입니다.1 정교한 은닉 기술이라고 보기는 어렵지만, 사용자가 이상 징후를 확인하려는 순간 악성 동작을 숨기려는 의도가 드러납니다.
실제 피해는 클립보드 밖으로 확장된다
이 악성코드는 클립보드에서 암호화폐 지갑 주소나 시드 문구와 일치하는 패턴을 감시합니다.1 탐지한 자격 증명은 Tor를 통해 공격자 서버로 전송됩니다. 또한 10초 동안 찍은 스크린샷 5장도 함께 유출해 지갑 화면, 잔액, 거래 맥락 같은 추가 정보를 확보하려 합니다.1
따라서 Crypto Clipper의 위험은 “붙여넣은 주소가 바뀐다”에 그치지 않습니다. 시드 문구나 개인키가 노출되면 지갑 자체가 탈취될 수 있고, 스크린샷까지 유출되면 공격자는 사용자의 거래 상황을 더 정확히 파악할 수 있습니다.
사용자가 바로 적용할 수 있는 점
가장 기본적인 대응은 붙여넣은 지갑 주소를 다시 확인하는 것입니다. 앞뒤 몇 글자만 보는 방식은 충분하지 않습니다. 공격자는 원래 주소와 비슷해 보이도록 일부 문자를 맞춘 주소를 사용할 수 있으므로, 가능한 한 전체 주소를 검증해야 합니다.
USB 드라이브에서 문서처럼 보이는 바로가기를 실행하는 것도 주의해야 합니다. Microsoft는 Crypto Clipper가 USB 드라이브의 .lnk 파일을 통해 확산되는 것을 관찰했습니다.1 출처가 불분명한 이동식 저장장치에서는 바로가기 파일을 열지 않는 것이 안전합니다.
조직 환경에서는 이동식 저장장치의 AutoRun/AutoPlay를 끄고, USB에서 .lnk 실행을 제한하는 정책을 검토할 필요가 있습니다.1 또한 불필요한 wscript.exe, cscript.exe 사용을 줄이고, 스크립트가 cmd.exe, PowerShell, 네트워크 도구를 호출하는 흐름을 모니터링하는 것이 도움이 됩니다.1
결론
Crypto Clipper가 보여주는 메시지는 분명합니다. 클립보드 탈취는 더 이상 작은 장난 수준의 위협이 아닙니다. USB 웜 전파, Windows 스크립트 기반 실행, Tor 통신, 스크린샷 유출이 결합되면 암호화폐 탈취 도구는 지속 접근과 정보 수집을 겸한 침투 도구로 바뀝니다.
개인은 지갑 주소와 시드 문구를 다루는 습관을 더 엄격히 관리해야 하고, 조직은 USB 실행 정책과 스크립트 기반 행위를 함께 통제해야 합니다. Crypto Clipper의 핵심 교훈은 간단합니다. 암호화폐 보안은 지갑 앱만의 문제가 아니라, 클립보드와 이동식 저장장치, 로컬 스크립트 실행 환경까지 포함한 엔드포인트 보안 문제입니다.
참고
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.