2026년 7월 25일 Bleeping Computer는 솔라나, 루노, 트레이딩뷰를 모방한 가짜 웹페이지가 악의적 자바스크립트를 통해 브라우저 메모리에서 직접 멀웨어를 조립하는 malvertising 캠페인을 단독 보도했다. 해당 공격은 2024년 말부터 25개국으로 확대된 것으로 확인되며, 디스크에 파일을 남기지 않는 파일리스 특성을 갖는다. 본문은 이 캠페인의 기술적 구조와 탐지 공백, 그리고 실무 차원의 대응 권고를 정리한다.
핵심 요약
- 솔라나, 루노, 트레이딩뷰를 모방한 가짜 페이지에서 악성 자바스크립트가 브라우저 메모리상에서 멀웨어를 조립하는 파일리스 malvertising 캠페인이 2024년 말부터 25개국으로 확산됨
- 공격은 디스크에 바이너리를 남기지 않는 메모리 내 코드 실행 방식으로, 시그니처 기반 안티바이러스의 탐지 공백을 노린 구조로 분석됨
- Bleeping Computer의 Bill Toulas 기자가 2026년 7월 25일 오전 11시 21분에 단독 보도를 실시
브라우저 자체가 멀웨어 조립장치가 되는 시대, 보안의 무게중심은 파일에서 행위로 이동해야 한다.
개요: 브라우저 메모리에서 자라나는 멀웨어 위협
메모리 내 멀웨어 조립 공격의 등장과 진화
전통적 멀웨어는 실행 파일을 디스크에 드롭한 뒤 활동한다. 반면 최근 보고된 캠페인은 자바스크립트가 브라우저 프로세스의 메모리 공간에서 직접 페이로드를 조립하고 실행하는 방식을 채택한 것으로 분석된다. 이 접근은 파일 시스템에 흔적을 남기지 않으므로, 기존 시그니처 스캔 중심의 엔드포인트 보안 체계에서 탐지 공백이 발생할 가능성이 높다.
malvertising 캠페인의 작동 구조와 표적 선정
malvertising은 합법적 광고 네트워크 또는 도메인 섀도잉을 통해 정상 트래픽 속에 악성 페이지를 노출시키는 기법이다. 본 캠페인은 암호화폐 거래와 트레이딩이라는 고부가 사용자군이 모이는 솔라나, 루노, 트레이딩뷰를 정면으로 사칭 표적으로 삼아 클릭률을 높이고 있다. 사용자는 광고 한 번 노출만으로 메모리 내 조립 단계에 진입할 수 있는 구조로 보인다.
공격 캠페인 상세 분석
모방 대상 서비스: 솔라나, 루노, 트레이딩뷰의 신뢰 사칭
표적 브랜드는 모두 글로벌 금융 활동과 직결된 이름이다. 루노는 신흥 시장에서 진입장벽이 낮은 거래소로 알려져 있고, 솔라나는 빠른 성장의 토큰 생태계로 다수의 일반 투자자가 몰려 있으며, 트레이딩뷰는 차트 분석 도구로 업무 시간대에 반복 방문이 잦은 서비스다. 공격자는 이러한 사용자 습관을 활용해 신뢰 기반 클릭을 유도하는 것으로 분석된다.
악성 자바스크립트 페이로드의 메모리 조립 메커니즘
보도에 따르면 페이지에 삽입된 자바스크립트는 난독화된 코드 청크를 단계적으로 다운로드해 WebAssembly 또는 암호화 관련 API를 활용해 메모리상에서 페이로드를 합성하고 실행한다. 디스크에 드롭되지 않으므로 forensic 분석 시 메모리 덤프 없이는 사후 추적이 어려울 가능성이 지적된다.
2024년 말부터 25개국으로 확산된 운영 규모
캠페인은 2024년 말부터 운영되어 25개국의 사용자가 노출된 것으로 보고되었다. 특정 국가 표적이 아니라 글로벌 다국적 광고 인벤토리를 무대삼아 노출이 자동화되는 형태로, 언어별 랜딩 페이지와 다중 도메인 회전이 동원된 것으로 보인다.
탐지 및 방어의 어려움
기존 디스크 기반 안티바이러스의 무력화 가능성
시그니처 기반 엔진은 디스크에 기록된 파일의 해시와 정적 특징을 비교한다. 메모리 내 동적 조립은 디스크에 비교 대상이 남지 않으므로, 알려진 패턴과의 1차 대조에서 누락될 가능성이 높다. 본 캠페인은 이 본질적 한계를 노린 설계로 분석된다.
브라우저 샌드박스와 동일 출처 정책의 우회 시도
브라우저는 프로세스 격리와 동일 출처 정책(CORS) 등 다계층 방어를 제공하지만, 광고 스크립트는 1차 출처에서 실행되는 것이 정상 동작이다. 공격자는 이 신뢰 경계를 활용하여 사용자 상호작용 없이도 메모리 조립 단계로 진입하는 것으로 추정된다.
| 구분 | 시그니처 기반 탐지 | 메모리 행위 기반 탐지 |
|---|---|---|
| 탐지 대상 | 디스크 파일의 해시/패턴 | 프로세스 메모리의 실행 흐름 |
| 파일리스 공격 대응 | 탐지 공백 발생 가능성 | 이상 행위 포착에 유리 |
| 성능 부하 | 낮음 | 상대적으로 높음 |
| 오탐 위험 | 낮음 | 룰 튜닝 필요 |
조직 및 개인을 위한 대응 가이드
기업 보안팀을 위한 메모리 행위 모니터링 권고
엔드포인트 탐지 및 대응(EDR) 제품에서 프로세스 메모리 보호, 스크립트 인터프리터의 이상 행위 룰, 그리고 브라우저 프로세스에 대한 자식 프로세스 생성 모니터링을 우선 점검할 필요가 있다. 또한 로그 소스에 브라우저 콘솔 및 네트워크 L7 이벤트를 통합해 자바스크립트 페이로드 단위의 가시성을 확보해야 한다.
일반 사용자를 위한 브라우저 보안 설정 및 확장 프로그램 점검
불분출처 팝업 차단, 광고 차단 확장 프로그램, 그리고 브라우저의 안전 브라우징 기능을 활성화하는 것이 기본선으로 권고된다. 암호화폐 지갑과 거래소 계정은 분리된 브라우저 프로필에서 운영해 광고 트래픽이 격리되도록 한다.
전망 및 시사점
파일리스 공격 트렌드의 가속화 전망
2024년 이후 서비스형 공격 도구(RaaS, MaaS)의 보급과 메모리 보호 API 노출 확대로, 파일리스 기법을 채택하는 캠페인은 점차 증가할 것으로 전망된다. 광고 네트워크와 정상 도메인의 신뢰 자체가 공격 면적으로 전환되는 양상은 당분간 완화되기 어려울 것으로 분석된다.
광고 생태계 전반의 신뢰 회복을 위한 정책적 제언
광고 플랫폼은 크리에이티브에 대한 자바스크립트 무결성 검증, Lander 도메인의 평판 점수 공개, 그리고 의심 소스 다운로드의 L7 레벨 차단을 표준화해야 한다는 제언이 가능하다. 사용자 측면에서는 금융 서비스의 광고를 무비판적으로 클릭하지 않는 습관과, 공식 도메인북마크를 통한 직접 진입이 실질적 1차防线으로 기능한다.
핵심 정리
- 공격 벡터: 브라우저 메모리 내 자바스크립트 기반 파일리스 멀웨어 조립
- 표적 브랜드: 솔라나, 루노, 트레이딩뷰 등 글로벌 금융 서비스
- 확산 범위: 2024년 말부터 25개국, 다국적 광고 인벤토리 이용
- 탐지 공백: 디스크 기반 시그니처 엔진은 본 공격에서 본질적 한계 보유
- 실무 대응: 메모리 행위 기반 EDR, 브라우저 보안강화, 광고 노출 최소화
참고 자료: Bleeping Computer, The Hacker News