[해외보안뉴스] macOS 악성코드 PamStealer 변종 발견... 실시간 C2 페이로드 복호화 및 다중 지속성 기법 적용
· 2026-09-25 17:00
· 조회 23
· 원문 ↗
보안 전문 기업 Jamf Threat Labs의 연구진은 macOS를 위협하는 악성코드인 'PamStealer'의 새로운 변종이 발견되었다고 전했습니다. 이번에 포착된 최신 변종은 서버 측 복호화 체인을 통해서만 메인 페이로드를 복구할 수 있도록 설계되어, 보안 분석가와 탐지 시스템의 정적 분석을 효과적으로 회피하는 것이 특징입니다.
이 악성코드는 기존 버전과 동일하게 '자동화용 자바스크립트(JXA, JavaScript for Automation)' 드로퍼 메커니즘을 활용하지만, 사용자 공격 유인책(Lure)과 페이로드 전달 방식을 새로 업데이트했습니다. 특히 악성코드 내부에 암호화 키를 직접 포함했던 이전과 달리, 실시간 C2(명령 제어) 서버와의 통신을 통해 페이로드를 복호화하고 시스템 내에 다중 레이어 기반의 지속성을 확보하도록 진화했습니다.
이로 인해 macOS 기반의 자산을 운용하는 기업 및 일반 사용자는 단말 내 악성 행위를 조기에 발견하기 어려워졌습니다. 위협에 대응하기 위해서는 신뢰할 수 없는 출처의 스크립트 실행을 통제하고, JXA 관련 프로세스 실행 모니터링을 강화해야 합니다. 또한 엔드포인트 탐지 및 대응(EDR) 솔루션을 최신 상태로 유지하여 C2 서버와의 미인가 통신을 차단하는 것이 권장됩니다.
♥ 추천 0
서버 측 복호화 체인을 도입하면서 이제 정적 바이너리 분석만으로는 내부 페이로드를 식별하기가 사실상 불가능해졌습니다.
특히 macOS의 JXA(JavaScript for Automation) 환경을 악용하는 만큼, 기업 환경에서는 MDM 정책을 통해 자동화 스크립트의 실행 권한을 최소화하고 모니터링을 강화해야 합니다.
결국 네트워크 단의 엄격한 아웃바운드(Egress) 필터링과 함께, 정적 시그니처 기반 검사에서 런타임 행위 기반(EDR) 탐지 체계로 아키텍처를 시급히 전환해야 할 때입니다.
서버 사이드 키 교환 기반의 페이로드 복호화 방식을 채택하여, 실시간 C2 통신 없이는 정적 분석과 샌드박스 탐지를 완벽히 우회하는 고도화된 은폐 기법을 보여줍니다. macOS 환경에서 신뢰받는 JXA(JavaScript for Automation) 드로퍼를 여전히 공격 벡터로 활용하면서 유인책을 변형해 초기 침투 성공률을 높였습니다. 여기에 다중 레이어 지속성(Persistence)까지 결합되어, 공격자 관점에서는 보안 솔루션의 추적을 피하고 장기적으로 시스템 제어권을 유지하기에 매우 유용한 변종입니다.
최근 macOS 환경을 겨냥한 고도화된 악성코드가 증가함에 따라 'Mac은 안전하다'는 오랜 인식을 탈피하고 동일한 수준의 리스크 관리를 적용해야 합니다. 특히 서버 연동형 복호화와 JXA 스크립트 오용은 기존의 정적 보안 탐지를 무력화하므로, 행위 기반 EDR 모니터링과 C2 통신 차단 정책의 즉각적인 점검이 시급합니다. CISO 관점에서 사내 모든 macOS 자산에 대한 보안 거버넌스를 재정비하고, 제로 트러스트 기반의 단말 통제 체계를 강화하겠습니다.