투자 사기에 쓰이던 사설 HTS, 그 다음은 랜섬웨어

정상 HTS처럼 꾸민 사설 투자 프로그램

HTS는 투자자가 증권사 객장에 방문하지 않고 PC 등을 이용해 주식이나 펀드, 선물 같은 금융 상품을 거래할 수 있도록 만든 시스템이다. 일반적으로 사용자는 자신이 거래하는 제도권 금융회사가 공식적으로 제공하는 HTS를 설치해 금융거래를 진행한다.

문제는 불법 금융투자 업체가 정상 금융회사를 사칭해 자체 제작한 사설 HTS를 설치하도록 유도하는 경우다. 공격자들은 인터넷이나 문자메시지 광고를 비롯해 카카오톡과 같은 SNS 단체 대화방으로 사용자를 끌어들인다. 소액의 증거금으로 해외 선물 거래가 가능하다고 강조하거나 수수료 면제, 대출 등을 내세운 뒤 별도로 제작한 HTS를 설치하고 투자금을 입금하도록 유도하는 식이다.

이렇게 설치된 사설 HTS는 실제 증권사 프로그램과 구분하기 어려울 정도로 유사하게 만들어지기도 한다. 화면에서는 정상적으로 수익이 발생하는 것처럼 보여준 뒤 출금을 요구하면 연락을 끊거나, 예치금을 넣도록 한 뒤 거래 수수료 등을 명목으로 돈을 가로채기도 한다.

과거 사설 HTS 악성코드 유포 악용 사례

사설 HTS가 악성코드 유포에 이용된 것은 이번이 처음은 아니다. 2023년과 2024년에도 ‘HPlus’라는 이름의 사설 HTS를 통해 Quasar RAT이 유포되는 사례가 있었다.

Quasar RAT은 오픈소스로 공개된 원격 제어 악성코드다. 감염된 PC를 원격으로 제어하는 기능은 물론 키 입력을 기록하는 키로깅과 계정 정보 수집 기능 등을 갖고 있어, 공격자가 사용자 정보를 빼내거나 원격 데스크톱을 통해 감염 시스템을 직접 조작하는 데 악용할 수 있다.

당시 HPlus HTS의 업데이트 서버 주소를 설정하는 config.ini 파일에서는 악성코드가 업로드된 FTP 주소가 확인됐으며, 이를 통해 Quasar RAT이 설치됐다. 검색이나 약관에서 해당 업체의 정상적인 회사 정보를 확인하기 어려웠다는 점을 고려하면 피해자들은 제도권 금융회사가 아닌 무인가 또는 위장 금융투자 업체를 통해 프로그램을 설치한 것으로 추정된다.

[그림 1] 악성코드와 함께 설치된 사설 HTS

투자 사기에 쓰이던 UBP 에셋의 변신

이번에 랜섬웨어 유포에 사용된 프로그램은 ‘UBP 에셋’이라는 이름의 사설 HTS다.

2025년 9월 국내 한 법무법인이 블로그에 “UBP 에셋 사기 사이트 ub900[.]org 사칭 사이트 피해 주의”라는 이름의 포스팅을 업로드했다. 해당 포스팅에 따르면, 공격자는 실제 스위스 금융기관 Union Bancaire Privée(UBP)의 이름과 로고를 사칭했으며, 피해자들은 주로 텔레그램 리딩방이나 밴드방 등을 통해 가입을 권유받은 것으로 알려졌다. 실제 투자라고 믿게 해 돈을 입금하도록 한 뒤, 추가 송금 요구를 거부하면 접속을 차단하는 방식으로 사기 행각을 벌였다.

안랩이 최근 확인한 HTS 역시 당시 UBP 에셋과 동일한 사용자 인터페이스를 사용하고 있었으며, 프로그램 버전 정보에서도 UBP 관련 문자열이 확인됐다. 이를 바탕으로 과거 투자 사기에 사용된 것과 동일한 계열의 HTS로 추정된다.

[그림 2] UBP 에셋 HTS 로그인 화면

랜섬웨어 유포 통로가 된 HTS 업데이트

UBP 에셋 HTS는 드라이브의 루트 경로에 UBP-Asset 폴더를 만들고 설치된다. 사용자가 바탕화면 바로가기를 실행하면 UBPUpdater.exe가 동작하고, 이어 UBPPatch.psh 파일을 실행한다.

UBPPatch.psh는 이름만 보면 일반적인 스크립트처럼 보이지만 실제로는 실행 파일이다. 이 파일은 HTS 업데이트 서버에 접속해 업데이트 대상 정보를 포함하는 Update.lst 파일을 내려받은 뒤, 그 내용을 참고해 프로그램 업데이트를 수행한다.

[그림 3] UBP 에셋 HTS 설치 폴더

다만 안랩 ASD 로그에서는 UBPPatch.psh가 서버로부터 랜섬웨어 다운로드 설정이 포함된 Update.lst를 받아온 뒤 HTSPnew.exe라는 랜섬웨어 파일을 설치한 것으로 보인다.

[그림 4] ASD 로그에서 확인되는 랜섬웨어 설치 행위

HTS 모듈에서도 과거 유형과 다른 변화가 확인됐다. UBP.exe 자체는 UBP.dll을 불러와 Main() 함수를 실행하는 역할만 하며, 실제 HTS의 주요 기능은 UBP.dll에 포함돼 있다. 그런데 최근 확인된 UBP.dll에서는 과거 유형과 달리 같은 경로에 있는 HTSPnew.exe를 실행하는 명령이 추가됐다.

[그림 5] 최신 UBP.dll 파일에 추가된 루틴

이를 종합하면 공격자는 HTS 서버에 랜섬웨어를 업로드하고 업데이트 설정 파일을 수정했을 뿐만 아니라, HTS 모듈인 UBP.dll에도 랜섬웨어를 실행하는 기능을 추가한 것으로 보인다.

HTS에서 시작된 KRSID 랜섬웨어 감염

HTS를 통해 최종적으로 실행되는 HTSPnew.exe는 Rust 언어로 제작된 랜섬웨어다. 랜섬노트의 내용을 바탕으로 AI를 활용해 제작했을 것으로 추정되며, 안랩은 암호화된 파일에 추가되는 확장자를 기준으로 이를 ‘KRSID 랜섬웨어’로 분류했다.

KRSID 랜섬웨어의 주요 특징은 [표 2]와 같다.

KRSID 랜섬웨어는 별도의 실행 인자가 없을 경우 PC의 전체 드라이브를 대상으로 파일 암호화를 수행한다. 다만 윈도우와 Program Files, ProgramData, 휴지통, 시스템 복원 및 복구 관련 영역을 비롯해 AppData와 일부 개발 환경 관련 폴더 등은 암호화 대상에서 제외한다.

반대로 일반 문서와 PDF, 이미지, 동영상, 압축 파일, 데이터베이스, 백업 파일을 비롯해 다양한 프로그래밍 언어의 소스 코드와 설정 파일 등 폭넓은 종류의 파일을 암호화 대상으로 삼는다.

특정 경로만 암호화하거나 처리할 파일 수를 조정하는 등 실행 방식도 인자로 제어할 수 있다.

특히 --dry-run을 사용하면 실제 파일을 암호화하지 않고 어떤 파일이 대상이 되는지만 확인할 수 있다. 작업 로그는 같은 경로의 ransomware-silent.log에 저장되며, 암호화 대상 폴더에는 README_KRSID.txt라는 랜섬노트가 생성된다.

랜섬노트는 한글로 작성돼 있으며, 공격자와 텔레그램으로 연락하도록 안내한다. 다른 일부 랜섬웨어에서 흔히 사용하는 볼륨 쉐도우 복사본 삭제 기능은 이번 KRSID 랜섬웨어에서는 확인되지 않았다.

[그림 6] 랜섬노트

이번 사례는 사설 HTS가 단순한 투자 사기 도구를 넘어 악성코드와 랜섬웨어를 유포하는 통로로도 악용될 수 있음을 보여준다. 특히 정상적인 업데이트 과정처럼 보이는 절차를 통해 랜섬웨어가 실행될 수 있는 만큼, 출처가 불분명한 투자 프로그램은 설치 단계부터 주의가 필요하다. 조직에서는 관련 침해지표(IoC)와 악성코드 생성 경로를 활용해 감염 여부를 점검하고 필요한 보안 조치를 수행해야 한다.