2026년 멀웨어 트렌드 AI 시대 보안 전략

2026년, AI로 진화하는 멀웨어 트렌드를 분석하고 변화하는 공격 기법에 효과적으로 대응하는 최신 보안 전략을 제시합니다.

2026년, AI 발전과 컴퓨팅 인프라 변화는 멀웨어 세계를 격변시키고 있습니다. 보안 전문가는 날로 정교해지는 위협에 대응하기 위해 최신 트렌드를 숙지해야 합니다.

공격자와 방어자의 치열한 공방 속에서 새로운 기법이 등장하고 구식 접근법은 사라지고 있습니다. 지금 멀웨어 세계의 주요 트렌드와 퇴조하는 기법을 면밀히 분석합니다.

최초 접근 권한을 상품화하는 인포스틸러

지난 18개월간 인포스틸러의 급성장이 두드러집니다. 이머시브에 따르면 룸마 스틸러, 스틸시, 라이즈프로 같은 멀웨어가 전체 탈취 자격 증명의 75%를 차지합니다. 이들은 브라우저 쿠키, 가상 사설망 자격 증명, 다중 인증 토큰, 암호화폐 지갑 데이터 등을 훔칩니다. 탈취된 정보는 다크웹에서 판매되어 공격자들이 복잡한 과정 없이 기업 시스템에 손쉽게 접근하도록 합니다. 벤 매카시는 최초 접근 권한 상품화가 국가 지원 공격 집단까지 단순 거래만으로 목표를 달성하게 한다고 분석합니다.

개발 환경을 겨냥한 악성 패키지

위협 행위자는 기업이 애플리케이션 구축에 사용하는 정상적인 개발 도구, 라이브러리, 프레임워크에 악성 코드를 심어 소프트웨어 공급망을 체계적으로 침해합니다. NPM, PyPI 같은 인기 소프트웨어 개발 생태계와 허깅페이스 같은 AI 플랫폼이 주된 표적입니다. 악성 패키지는 정상 패키지를 가장해 코드 검토를 피하며 유해 코드를 실행합니다. 2026년에도 소프트웨어 공급망은 멀웨어 유포 경로로 혁신됩니다. 샤이훌루드 공격은 CI/CD 시크릿과 GitHub Actions OIDC 토큰을 훔쳐 자가 전파형 멀웨어로 악성 패키지를 배포했습니다. 액시오스 침해 사건에선 핵심 유지 관리자 자격 증명을 노려 정상 릴리즈에 악성 종속성을 삽입했습니다.

더욱 표적화되고 정교해지는 랜섬웨어

락비트 같은 주요 기업 단속 후 랜섬웨어 지형이 급변했습니다. 랜섬웨어허브, 아키라 등 최신 위협 행위자는 고도로 표적화된 소규모 공격을 선호합니다. 침투와 데이터 유출 후 랜섬웨어를 마지막 단계에서 사용하며, 광범위한 타격에서 고부가가치 캠페인으로 전환했습니다. 공격자는 LOTL(시스템 내 기존 도구 악용) 전술과 정상 관리 도구로 은밀히 활동합니다. 파일 암호화보다 데이터 탈취 및 협박으로 무게 중심을 옮겼습니다. 엑스트라홉의 제이미 몰스는 클라우드 기반 서비스와 원격 관리 플랫폼 활용이 늘며, 신뢰 플랫폼을 악용하는 LOTL 기법으로의 전환이 뚜렷하다고 밝혔습니다. 의료 분야와 핵심 인프라는 여전히 최상위 표적입니다.

사회공학 기법을 도입하는 멀웨어

사이버 범죄자는 최종 사용자 감염을 위해 사회공학 기법에 의존하며, 멀웨어 유포 수단으로 클릭픽스를 적극 활용합니다. 클릭픽스는 사용자가 악성 코드(주로 파워셸 스크립트)를 직접 실행하도록 속이는 수법입니다. ‘사람임을 증명하라’는 요구에 지친 사용자 피로감을 악용, 친숙한 캡차 절차인 양 가장해 악성 명령어를 복사 붙여넣기하게 만듭니다. 센티넬랩스의 짐 월터는 클릭픽스가 피싱 사이트, 감염 웹페이지, 사회공학 캠페인 전반에서 크게 확산 중이라고 전했습니다. CISO는 이 수법이 사람 행동에 의존해 기존 탐지 방식을 우회하므로 경계해야 합니다. 2026년에도 변종이 계속 등장합니다. 헌트레스는 무료 이미지 편집 도구 위장 클릭픽스를 포착, 캐슬로더를 통해 넷서포트 RAT와 .NET 스틸러를 유포했습니다. 최종 목표는 브라우저 자격 증명, 지갑 확장 프로그램 데이터, 텔레그램 세션 파일 탈취였습니다.

탐지 체계를 회피하는 다형성 멀웨어

다형성 멀웨어는 복제하거나 새 시스템 감염 시 코드를 자동 변형해 시그니처 기반 탐지를 어렵게 합니다. 백신 소프트웨어 탐지와 보안 연구원 분석이 모두 까다롭습니다. 팔로알토 네트웍스의 알렉스 힌클리프는 해시 기반 스캐너 같은 기본 탐지 체계가 다형성 앞에서 무력화된다고 설명합니다. 악성 프로그램을 컴파일할 때마다 고유한 새 해시가 생성되며, 무료 및 상용 압축·패킹 도구가 많아 지문의 변형 조합은 더욱 늘어납니다. 다형성 멀웨어는 암호화로 페이로드를 숨기는 경우가 많아 탐지와 분석이 한층 복잡해집니다.

AI가 ‘평탄화’한 멀웨어 개발 생태계

AI 활용 확대는 멀웨어 생태계를 통합하고 축소시켰습니다. 헌트레스의 애덤 브라운은 익스플로잇 키트 개발자, 로더, 복잡한 멀웨어 임플란트의 필요성이 줄었다고 분석합니다. AI 도입과 효율적인 침투 기법으로 생태계가 ‘평탄화’된 것입니다. 위협 행위자는 스크린커넥트 같은 도구에 체험판 계정을 쓰고, 명령 및 제어(C2)와 유출 경로를 클라우드플레어 계정 뒤에 숨깁니다. 무료 클라우드 호스팅 만연으로 불릿 프루프 호스팅 필요성과 비용이 사라졌습니다. 방어 체계만 무력화하면 코발트 스트라이크, 미터프리터 같은 무료·상용 도구도 잘 작동합니다. 사이버 범죄 기업은 사업 최적화로 모든 기능 갖춘 트로이 목마, 익스플로잇 키트 개발 투자를 포기하고 대신 서명된 시스템 드라이버나 원격 관리 소프트웨어 같은 정상 실행 파일로 방어를 무력화하고 인포스틸러를 투입, 정상 도구로 내부 이동 후 기업 자산을 네트워크 전체에서 암호화하는 편이 훨씬 효율적임을 깨달았습니다.

기존 공격의 속도를 높이는 AI

AI는 전통적인 공격 방식을 대체하지는 못하지만, 기존 기법을 더 빠르고 그럴듯하게, 더 큰 규모로 수행하도록 돕습니다. 팀뷰어의 퍼트리샤 레퍼트는 AI가 피싱 메시지 작성, 정찰 자동화, 취약점 발견, 현실적인 사칭 시도를 지원한다고 지적합니다. 공격자는 AI로 멀웨어와 관련 도구까지 제작합니다. 이센티어의 위협 연구팀은 랜섬웨어 제휴 기업부터 북한 사이버 첩보 기업까지 AI 도움으로 개발하는 정황을 포착했습니다. 스펜스 허친슨은 공격자가 챗GPT, 클로드, 딥시크 같은 대규모 언어 모델(LLM)을 활용해 로더, 드로퍼, 관리자 패널, 스크립트를 작성하고 프로그래밍 언어 간 코드를 변환하며 사회공학 문구를 쓴다고 밝혔습니다. 탈옥이나 탈취 후 재판매되는 계정을 통해 모델의 안전장치를 우회합니다.

전장에 뛰어든 에이전틱 AI

공격자는 이미 생성형 AI로 피싱 이메일 작성, 악성 코드 작성, 사회공학 공격을 가속합니다. 하지만 에이전틱 AI는 LLM에 도구, 메모리, 의사 결정 역량을 결합하여 악성 시스템이 스스로 행동을 계획하고, 장애물에 적응하며 목표를 자율적으로 추구하도록 함으로써 공격자 역량을 한 단계 더 끌어올릴 전망입니다. 최근 사례인 제이드퍼퍼는 정찰, 환경 적응, 자격 증명 수집, 환경 이동, 파괴 행위를 사람 개입 없이 수행했습니다. 배리는 제이드퍼퍼가 문제에 부딪히면 행동 방식을 바꾸어 스크립트 기반 공격이라면 중단됐을 상황에서도 적응하는 모습을 보였다고 설명합니다.

퇴조하는 멀웨어 기법 일부

보안 방어 기술 발전으로 일부 멀웨어 및 해킹 기법은 효과가 떨어져 퇴조하고 있습니다. 위협 행위자는 악성 실행 파일보다 시스인터널스 스위트나 LOLBin(시스템 내 기존 바이너리 악용) 같은 정상 관리 도구에 더 의존합니다. 헌트레스의 오도넬웰치는 코발트 스트라이크, 슬리버 같은 종합 도구 모음 사용은 줄었지만, 미미카츠, 크랙맵엑섹 같은 특화 도구는 비밀번호 스니핑, 메모리 덤프, 권한 상승, 내부 이동 등 특정 기능에 계속 사용된다고 밝혔습니다.