카스퍼스키, 정보탈취형 원격제어 악성코드 'CrystalX RAT' 탐지

2026년 7월 20일, 서울 — 글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 카스퍼스키 글로벌 연구분석팀(GReAT)가 지금까지 공개되지 않았던 새로운 원격제어 악성코드(Remote Access Trojan, RAT)인 ‘CrystalX RAT’를 발견했다고 밝혔다.

이 악성코드는 일반적인 원격제어 악성코드(RAT) 기능을 넘어 정보 탈취형 악성코드(스틸러), 키로거, 클리퍼(암호화폐 지갑 주소를 공격자가 미리 지정한 주소로 자동으로 바꿔치기하는 악성코드), 스파이웨어 기능을 하나의 악성코드에 결합한 것이 특징이다. 공격자들은 이를 서비스형 악성코드(MaaS) 형태로 제3자에게 판매하고 있으며, 유튜브와 텔레그램을 통해 적극적으로 홍보하고 있어 숙련도가 낮은 공격자까지 사용할 가능성이 커지고 있다.

정보 탈취 기능을 통해 CrystalX RAT은 피해자의 다양한 정보를 수집할 수 있다. 시스템 정보를 수집하는 것은 물론 Steam, Discord, Telegram 계정 자격 증명을 탈취하고 웹 브라우저에 저장된 데이터도 수집한다. 또한 브라우저 기반 클리퍼 기능을 이용해 암호화폐 지갑 주소를 공격자가 지정한 주소로 바꿔치기할 수 있어 암호화폐 이용자에게도 심각한 위협이 될 수 있다.

CrystalX RAT은 정보 탈취를 넘어 피해자를 전방위적으로 감시할 수 있는 기능도 갖추고 있다. 화면 캡처는 물론 마이크를 통한 음성 녹음, 웹캠 촬영, 그리고 피해자의 화면을 실시간으로 녹화할 수 있어 사실상 피해자의 활동 전반을 감시할 수 있다.

특히 눈에 띄는 점은 피해자를 혼란스럽게 만드는 교란 장난형 악성코드(Prankware) 기능이다. 이 기능을 이용하면 공격자는 피해자의 마우스 커서를 강제로 흔들거나, 바탕화면 배경을 변경하고, 화면 방향을 회전시키며, 바탕화면 아이콘을 숨기거나 시스템을 강제로 종료할 수 있다. 또한 실시간 팝업 메시지와 알림을 띄워 피해자와 상호작용하는 것도 가능하다. 이러한 기능은 단순한 장난처럼 보일 수 있지만, 실제로는 피해자의 시스템을 지속적으로 방해하고 심리적인 불안감을 유발해 공격의 피해를 더욱 크게 만든다.

카스퍼스키 레오니드 베즈베르셴코 글로벌 연구분석팀(GReAT)의 선임 보안 연구원은 "이처럼 다양한 기능을 갖춘 CrystalX RAT은 피해자의 시스템을 사실상 전방위적으로 장악해 개인정보를 완전히 침해할 수 있다. 계정 자격 증명을 탈취하는 데 그치지 않고, 수집된 정보는 협박이나 금전 갈취에 악용될 가능성도 있다. 현재 초기 감염 경로는 정확히 확인되지 않았지만, 이미 수십 명의 피해자가 발생한 것으로 확인됐다. 또한 카스퍼스키 텔레메트리에서는 새로운 버전의 악성코드가 지속적으로 탐지되고 있어, 이 악성코드가 현재도 활발히 개발·유지되고 있음을 보여준다. 가까운 시일 내 피해자 수와 감염 지역이 크게 확대될 것으로 예상한다"라고 말했다.

카스퍼스키 이효은 한국지사장은 "서비스형 악성코드(MaaS) 기반 원격제어 악성코드(RAT)는 오래전부터 국내 디지털 환경의 위협 요인으로 자리잡아 왔으며, 파일 공유 플랫폼과 게임 커뮤니티는 CrystalX와 같은 악성코드가 유포되는 주요 경로로 악용되고 있다. CrystalX RAT은 기존 정보 탈취형 악성코드와 달리 장난형 악성코드(Prankware) 기능까지 내장해 개인정보 유출뿐 아니라 피해자에게 심리적 스트레스와 혼란까지 유발할 수 있다는 점에서 더욱 위협적이다"라고 말하며, "국내 공격자들도 소셜미디어를 통해 저렴하면서도 다양한 기능을 갖춘 이러한 원격제어 악성코드를 손쉽게 확보할 수 있어 사이버 범죄의 진입 장벽이 더욱 낮아지고 있다. 국내 기업과 일반 사용자 모두 무심코 파일을 다운로드하는 습관에서 벗어나 엔드포인트 전반을 보호할 수 있는 보안 체계를 구축해 감시, 자격 증명 탈취, 시스템 조작이 결합된 복합 공격에 대비해야 한다"라고 강조했다.

CrystalX RAT과 침해지표(IoC)에 대한 자세한 내용은 Securelist.com 보고서를 통해 확인할 수 있다.

카스퍼스키는 CrystalX RAT과 같은 위협으로부터 안전하게 보호하기 위해 다음과 같이 권고한다.

ž   메신저나 이메일을 통해 전달받은 파일은 악성코드가 실행될 수 있으므로 열거나 다운로드할 때 각별히 주의한다.

ž   게임이나 게임 모드는 반드시 공식 사이트 또는 신뢰할 수 있는 웹사이트에서만 다운로드한다. 비공식 경로에서 제공되는 파일에는 악성코드가 포함되어 있을 수 있다.

ž   모든 PC와 모바일 기기에 카스퍼스키 프리미엄(Kaspersky Premium)과 같은 신뢰할 수 있는 보안 솔루션을 설치한다. 잠재적인 위협을 사전에 탐지하고 감염을 예방할 수 있다.

ž   Windows 설정에서 '파일 확장명 표시(Show File Extensions)' 기능을 활성화한다. 이를 통해 악성 파일을 보다 쉽게 식별할 수 있다. 트로이목마(Trojan)는 실행 파일이므로 .exe, .vbs, .scr와 같은 확장자를 가진 파일은 특히 주의해야 한다. 공격자는 여러 개의 확장자를 사용해 악성 파일을 동영상, 사진 또는 문서 파일처럼 위장할 수 있다.

ž   이메일로 전달되는 알림(Notification)에도 주의한다. 공격자는 온라인 쇼핑몰이나 은행에서 발송한 것처럼 위장한 이메일을 이용해 사용자가 악성 링크를 클릭하도록 유도하고, 이를 통해 악성코드를 유포하는 경우가 많다.