카스퍼스키, 정보 탈취 ‘인포스틸러 분석 보고서’ 발표
2026년 7월 8일, 서울 — 글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 카스퍼스키 DFI(디지털 풋프린트 인텔리전스)의 연구 결과, 전체 인포스틸러(정보 탈취형 악성코드) 감염 사례의 1/3(35%) 이상이 사용자가 브라우저의 임시 폴더에 저장된 파일을 직접 실행하면서 시작되는 것으로 나타났다고 발표했다. 이는 사용자 행동이 여전히 자격 증명 탈취의 주요 원인임을 보여준다.
반면, 정상 프로세스에 악성코드를 삽입해 실행하는 ‘프로세스 인젝션(Process Injection)’ 기법과 운영체제의 정상 시스템 도구를 악용하는 ‘LOL(Living-off-the-Land)’ 기법을 활용한 감염은 전체의 32%에 그쳤으며, 이러한 방식은 주로 고도화된 악성코드 계열에서 확인됐다.
카스퍼스키 DFI (디지털 풋프린트 인텔리전스) 연구진은 2025년 다크웹에서 발견된 500만 개의 인포스틸러(정보 탈취형 악성코드) 로그 파일을 분석했다. 이 로그에는 감염된 PC에서 탈취된 계정 정보, 브라우저 쿠키, 시스템 메타데이터는 물론, 악성 파일이 실제로 어떤 위치에서 실행됐는지에 대한 정보도 포함돼 있었다.
분석 결과, 가장 많은 감염이 시작된 위치는 Windows의 임시 폴더인 C:\Users\<User>\AppData\Local\Temp\ 로 전체의 약 35%를 차지했다. 이 폴더는 인터넷에서 다운로드한 파일이 사용자가 별도로 저장하기 전에 임시로 보관되는 공간이다. 즉, 상당수의 감염은 공격자가 복잡한 해킹 기법을 사용한 것이 아니라 사용자가 다운로드한 파일을 별다른 확인 없이 바로 실행하면서 발생한 것으로 나타났다.
두 번째로 많이 확인된 위치는 C:\Windows\Microsoft.NET\Framework\ 로 전체 사례의 약 32%를 차지했다. 이 경로에서는 프로세스 인젝션과 LOL 기법이 주로 사용됐다. 프로세스 인젝션은 악성코드가 정상적으로 실행 중인 프로그램 안에 자신의 코드를 삽입해 실행하는 방식이며, LOL은 Windows에 기본 탑재된 정상 프로그램과 도구를 악용해 보안 솔루션의 탐지를 우회하는 공격 기법이다. 이러한 방식은 Lumma와 같은 고도화된 인포스틸러 계열에서 주로 확인됐다.
분석 결과, 감염은 주로 두 가지 사용자 행동과 밀접한 관련이 있는 것으로 나타났다. 하나는 신뢰할 수 없는 웹사이트에서 소프트웨어를 다운로드하는 것이고, 다른 하나는 정품 인증을 우회하기 위해 불법 활성화 도구(Activator)를 사용하는 것이다. 실제로, 많은 피해자는 공격자의 안내에 따라 악성 파일을 실행하기 전에 백신 등 보안 프로그램을 직접 비활성화한 것으로 확인됐다.
또한 공격자들은 악성 파일을 정상 프로그램 설치 파일이나 활성화 도구(Activator), 게임 모드(Game Mod) 등으로 위장해 사용자가 의심 없이 실행하도록 유도했다. 게임 모드는 여전히 대표적인 공격 수단으로 활용되고 있으며, 이러한 위장 기법은 게임뿐 아니라 거의 모든 종류의 소프트웨어 배포에도 동일하게 적용되고 있는 것으로 나타났다.
카스퍼스키 DFI (디지털 풋프린트 인텔리전스) 전문가 세르게이 셰르벨은 "2025년 인포스틸러 감염은 전년 대비 59% 증가했다. 이번 분석은 사용자의 행동이 감염 확산에 중요한 영향을 미친다는 사실을 보여준다. 많은 인포스틸러가 임시 다운로드 폴더에서 바로 실행된 것으로 확인됐는데, 이는 사용자가 파일을 다운로드한 직후 충분한 확인 없이 실행하는 경우가 많다는 의미다. 많은 경우 공격자는 복잡한 공격 기법보다 사용자가 파일을 직접 실행하도록 유도하는 것만으로도 목적을 달성할 수 있다"라고 말했다.
카스퍼스키코리아 이효은 지사장은 "한국은 세계 최고 수준의 디지털 환경을 갖추고 있지만, 전자상거래와 다양한 온라인 서비스에서 발생한 개인정보 유출 정보를 악용한 표적 피싱 공격이 지속되고 있으며, 이를 통해 자격 증명 탈취형 악성코드도 빠르게 확산되고 있다, 국내 사용자들은 브라우저에서 다운로드한 파일을 충분히 확인하지 않은 채 실행하거나, 불법 소프트웨어나 게임 모드를 설치하기 위해 보안 프로그램을 끄는 경우가 적지 않다. 또한 중소기업은 보안 체계가 상대적으로 취약해 이러한 사회공학 공격에 쉽게 노출될 수 있다"라고 말하며, "최근 국내 사이버 공격은 사용자를 속이는 사회공학 기법과 정상 프로그램을 악용하는 ‘프로세스 인젝션’ 등 고도화된 기술이 함께 사용되는 양상을 보이고 있다. 이제 기업과 공공기관은 엔드포인트 보안만으로는 충분하지 않으며, 웹 전반에 걸친 디지털 위험 모니터링과 함께 임직원 보안 교육을 강화해 자격 증명 탈취를 사전에 차단하는 노력이 필요하다"라고 강조했다.
사용자 행동뿐 아니라 인포스틸러 계열별 파일명에서도 특징적인 패턴이 확인됐다. Lumma는 일반적인 설치 프로그램 이름을 사용하고 .NET 난독화와 프로세스 인젝션 기법을 함께 사용하는 경향을 보였다. Vidar는 주로 Bootstrapper.exe 형태의 파일명과 기존 로더를 활용했으며, Stealc는 Licence_Version_Loader.exe처럼 의미 있는 파일명과 무작위 파일명을 혼용하는 전략을 사용했다. RisePro는 MPGPH.exe, MSIUpdater.exe와 같은 일정한 파일명 규칙을 반복적으로 사용하는 것이 특징으로 나타났다.
전체 보고서는 관련 링크에서 확인할 수 있다.
카스퍼스키는 인포스틸러 감염 위험을 줄이기 위해 다음과 같은 권고 사항을 제시했다.
조직의 디지털 자산을 지속적으로 모니터링하고 표면 웹(Surface Web), 딥웹(Deep Web), 다크웹(Dark Web)에 걸쳐 위협을 탐지할 수 있는 카스퍼스키 DFI (디지털 풋프린트 인텔리전스) (Kaspersky Digital Footprint Intelligence)와 같은 종합적인 디지털 위험 보호 서비스를 도입한다.
정보보안(InfoSec) 담당자가 조직을 노리는 최신 사이버 위협을 폭넓게 파악할 수 있도록 지원한다. 카스퍼스키 위협 인텔리전스(Kaspersky Threat Intelligence)는 사고 대응 전 과정에서 풍부한 위협 정보를 제공해 조직이 사이버 위험을 보다 신속하게 식별하고 대응할 수 있도록 지원한다.
일반 사용자들은 다음 사항을 실천하는 것을 권장한다.
소프트웨어는 반드시 공식 또는 신뢰할 수 있는 출처에서만 다운로드하고, 불법 복제 소프트웨어(Pirated Software), 크랙(Crack), 활성화 도구(Activator), 비공식 설치 프로그램(Unofficial Installer)의 사용을 피한다.
모든 PC와 모바일 기기에 카스퍼스키 프리미엄(Kaspersky Premium)과 같은 신뢰할 수 있는 보안 솔루션을 설치한다. 해당 솔루션은 잠재적인 위협을 사전에 경고하고 악성코드 감염을 예방하는 데 도움을 준다.
민감한 정보는 안전하게 관리한다. 비밀번호나 계정 복구 문구(Recovery Phrase)를 사진첩이나 메모장에 저장하지 말고, 카스퍼스키 패스워드 매니저(Kaspersky Password Manager)와 같은 신뢰할 수 있는 전용 비밀번호 관리 솔루션을 사용한다.
소프트웨어를 설치하기 위해 안티바이러스 백신이나 보안 프로그램을 절대 비활성화하지 않는다. 또한 게임 모드(Game Mod), 치트 프로그램(Cheat), 서드파티 유틸리티(Third-party Utility)를 다운로드할 때는 각별한 주의를 기울인다.
운영체제와 애플리케이션은 항상 최신 상태로 유지하고, 강력하면서도 서비스마다 서로 다른 비밀번호를 사용한다. 가능한 경우에는 다중 인증(MFA)을 활성화한다.
