가짜 ChatGPT·Claude 설치 파일 주의! 공식 프로그램까지 악용한 악성코드 발견

ChatGPT나 Claude를 PC에 설치하려고 검색했다면 다운로드 주소를 한 번 더 확인할 필요가 있습니다.

2026년 10월 27일, 글로벌 보안업체 체크포인트 리서치(Check Point Research)는 ChatGPT와 Claude의 데스크톱 프로그램을 사칭해 악성코드를 유포하는 공격을 발견했다고 발표했습니다.

공격자들은 GitHub에 가짜 AI 프로그램을 게시하고, 구글 검색에서 해당 페이지가 노출되도록 유도했습니다. 특히 악성 설치 파일에 OpenAI와 Anthropic이 실제로 서명한 정상 실행 파일까지 포함해 사용자를 속였습니다.

분석 결과 해당 파일은 PC에서 몰래 암호화폐를 채굴하는 악성 프로그램을 실행하는 것으로 확인됐습니다.

다만 이번 사건은 ChatGPT나 Claude의 공식 서비스가 해킹당한 사고는 아닙니다. 공격자가 두 서비스의 인지도를 악용해 가짜 설치 파일을 배포한 사례입니다.

1. 가짜 ChatGPT·Claude 설치 파일에서 무슨 일이 발생했을까?

이번에 발견된 악성코드 유포 캠페인의 이름은 ‘Yoba’입니다.

공격자들은 사용자가 새로운 AI 모델과 프로그램을 찾는다는 점을 노렸습니다. GitHub에 공식 프로젝트처럼 보이는 저장소를 만들고, AI 프로그램을 무료로 설치할 수 있다고 홍보했습니다.

실제로 확인된 가짜 프로그램 명칭에는 다음과 같은 것들이 있었습니다.

GPT-5.6 Sol
GPT-6 Astra
Claude Opus

이름만 보면 유명 AI 모델의 전용 데스크톱 프로그램처럼 보일 수 있습니다. 하지만 해당 GitHub 프로젝트는 공식 배포처가 아니었습니다.

공격자들은 별도의 GitHub Pages 웹페이지도 만들어 프로그램의 기능을 소개하고 다운로드 링크를 제공했습니다.

사용자가 다운로드 버튼을 누르면 GitHub에 등록된 ZIP 압축 파일을 내려받도록 구성했습니다.

문제는 이 압축 파일 안에 정상 프로그램뿐 아니라 악성코드도 함께 들어 있었다는 점입니다.

GitHub에서 배포했다고 안전한 것은 아닙니다

GitHub는 개발자들이 소스코드와 프로그램을 공유하는 플랫폼입니다.

공식 개발사가 GitHub를 통해 프로그램을 배포하는 경우도 있지만, 누구나 자신의 프로젝트를 만들고 파일을 올릴 수 있습니다.

따라서 GitHub에 등록된 파일이라고 해서 반드시 안전하거나 공식 프로그램인 것은 아닙니다.

이번 공격에서도 GitHub 자체의 보안이 뚫린 것이 아니라, 공격자가 정상적인 파일 배포 기능을 악용했습니다.

2. 가짜 프로그램이 구글 검색에 노출된 이유

이번 사건에서 주목할 부분은 악성 파일이 단순히 수상한 웹사이트에 게시된 것이 아니라는 점입니다.

보안 연구진은 공격자들이 만든 GitHub 프로젝트가 구글 검색 결과의 상위권에 노출되는 현상을 확인했습니다.

이러한 방식은 ‘SEO 포이즈닝(SEO Poisoning)’이라고 부릅니다.

검색엔진에서 특정 키워드를 입력했을 때 악성 사이트나 공격자가 만든 페이지가 잘 보이도록 유도하는 수법입니다.

예를 들어 사용자가 새로운 AI 모델을 무료로 설치하려고 검색하면 공식 사이트와 비슷한 설명을 가진 페이지가 나타날 수 있습니다.

검색 결과에 나온 페이지가 GitHub 주소를 사용한다면 사용자는 비교적 신뢰할 만한 프로젝트라고 생각할 수도 있습니다.

하지만 검색 결과 상단에 표시된다는 사실은 해당 파일이 안전하다는 보증이 아닙니다.

체크포인트는 가짜 프로젝트들의 검색 노출 방식이 SEO 포이즈닝 공격과 일치한다고 분석했습니다. 다만 공격자가 정확히 어떤 방법으로 검색 순위를 높였는지까지 모두 확인된 것은 아닙니다.

3. 정상 프로그램이 포함됐는데도 악성코드에 감염되는 이유

이번 공격에서 가장 특이한 부분은 악성 설치 파일 안에 OpenAI와 Anthropic이 실제로 디지털 서명한 정상 실행 파일이 포함되어 있었다는 점입니다.

디지털 서명은 프로그램의 발행자를 확인하고 서명 이후 파일이 변경되었는지 검증하는 기술입니다.

일반적으로 정상적인 디지털 서명이 있다면 해당 실행 파일의 신뢰성을 판단하는 데 도움이 됩니다.

하지만 디지털 서명이 있다고 해서 주변에 함께 배포된 모든 파일까지 안전하다는 의미는 아닙니다.

공격자들은 바로 이 점을 악용했습니다.

DLL 사이드로딩이란?

이번 공격에는 ‘DLL 사이드로딩(DLL Sideloading)’이라는 기술이 사용됐습니다.

DLL은 윈도우 프로그램이 실행될 때 필요한 기능을 담아두는 파일입니다.

일부 프로그램은 실행 과정에서 주변 폴더에 있는 DLL 파일을 불러옵니다.

공격자는 이러한 동작을 악용해 정상적인 프로그램이 악성 DLL 파일을 실행하도록 만들 수 있습니다.

이번 Yoba 공격은 다음과 같은 흐름으로 진행됐습니다.

사용자가 가짜 AI 프로그램의 ZIP 파일을 다운로드합니다.
압축을 해제하고 정상적으로 서명된 Setup.exe를 실행합니다.
실행 파일이 같은 폴더에 있는 악성 winmm.dll을 불러옵니다.
악성 DLL이 추가 악성코드를 실행할 준비를 합니다.
외부에서 추가 프로그램을 내려받아 감염을 진행합니다.

겉으로는 정상 프로그램을 실행하는 것처럼 보이지만 실제로는 악성코드가 함께 실행되는 구조입니다.

체크포인트 연구진은 악성 DLL을 통해 실행되는 구성요소를 ‘YobaDropper’라고 명명했습니다.

이 프로그램은 윈도우 시스템에 추가 악성 구성요소를 설치하고, 컴퓨터가 재시작된 이후에도 악성코드가 실행될 수 있도록 작업 스케줄러를 설정합니다.

결국 파일 하나가 정상적으로 서명되었다는 사실만으로 설치 패키지 전체를 신뢰해서는 안 됩니다.

4. 감염되면 컴퓨터에서 어떤 일이 발생할까?

체크포인트가 분석한 Yoba 캠페인에서는 최종적으로 XMRig라는 암호화폐 채굴 프로그램이 설치되는 것으로 확인됐습니다.

XMRig 자체는 암호화폐 채굴에 사용되는 프로그램입니다. 하지만 사용자의 동의 없이 몰래 설치해 PC 자원을 사용한다면 악성 행위가 됩니다.

사용자의 PC를 이용한 몰래 채굴

암호화폐 채굴에는 컴퓨터의 연산 능력이 필요합니다.

감염된 PC에서 채굴 프로그램이 실행되면 CPU 자원이 사용되면서 다음과 같은 현상이 나타날 수 있습니다.

평소보다 컴퓨터가 느려지는 현상
CPU 사용률 증가
냉각팬 소음과 발열 증가
노트북 배터리 소모 증가
전력 사용량 증가

다만 이러한 증상만으로 악성코드 감염을 확정할 수는 없습니다. 정상적인 프로그램도 CPU 사용량이 높아질 수 있기 때문입니다.

이번 Yoba 악성코드는 사용자가 컴퓨터를 사용하고 있는지 감지해 채굴을 일시 중단하는 기능까지 갖추고 있었습니다.

사용자가 PC를 적극적으로 사용하는 동안에는 활동을 줄여 이상 징후를 알아차리기 어렵게 만든 것입니다.

다른 악성코드를 설치할 가능성도 있습니다

체크포인트는 이번 사례에서 암호화폐 채굴 프로그램이 최종적으로 설치되는 것을 확인했습니다.

그러나 YobaLoader라는 악성 구성요소는 다른 윈도우 실행 파일이나 PowerShell 프로그램도 전달할 수 있도록 만들어졌습니다.

따라서 향후 동일한 유포 구조가 정보 탈취 프로그램 등 다른 악성코드에 활용될 가능성도 있습니다.

다만 이번에 분석된 감염 사례에서 비밀번호 탈취나 랜섬웨어 감염까지 발생했다고 확인된 것은 아닙니다.

5. ChatGPT와 Claude를 안전하게 설치하는 방법

가짜 AI 프로그램으로 인한 감염을 예방하려면 무엇보다 공식 배포처를 이용하는 것이 중요합니다.

검색 결과에 나온 사이트나 SNS에서 공유된 파일을 바로 다운로드하기보다는 개발사의 공식 홈페이지에서 설치 경로를 확인하는 습관이 필요합니다.

ChatGPT 공식 다운로드

ChatGPT는 OpenAI가 운영하는 공식 다운로드 페이지에서 설치할 수 있습니다.

공식 주소: https://chatgpt.com/download/

설치 방법은 다음과 같습니다.

공식 다운로드 페이지에 접속합니다.
사용하는 운영체제에 맞는 프로그램을 선택합니다.
공식 페이지에서 안내하는 설치 파일을 다운로드합니다.
다운로드한 프로그램을 실행해 설치합니다.

Claude 공식 다운로드

Claude 역시 Anthropic이 운영하는 공식 다운로드 페이지를 통해 설치할 수 있습니다.

공식 주소: https://claude.com/download

설치 방법은 다음과 같습니다.

Claude 공식 다운로드 페이지에 접속합니다.
Windows 또는 macOS 등 운영체제를 선택합니다.
설치 파일을 다운로드합니다.
설치 후 계정으로 로그인합니다.

가짜 AI 설치 파일을 구별하는 방법

확인 항목	안전한 설치 방법	주의해야 할 상황
다운로드 주소	개발사 공식 홈페이지	출처 불분명한 사이트
설치 파일	공식 배포 파일	정체불명의 ZIP 압축 파일
프로그램 이름	공식 안내와 일치	새로운 모델을 무료로 제공한다는 비공식 프로그램
실행 권한	설치에 필요한 권한 요청	이유 없이 관리자 권한을 반복적으로 요구
디지털 서명	공식 배포처와 서명 정보 함께 확인	서명 여부만으로 안전성을 판단

GitHub 자체가 위험한 사이트라는 뜻은 아닙니다.

다만 GitHub에서 배포되는 프로그램은 공식 개발사가 직접 관리하는 프로젝트인지 확인할 필요가 있습니다.

특히 새로운 AI 모델이 출시됐다는 이유로 공식 홈페이지에 없는 전용 프로그램을 설치하도록 유도한다면 주의하세요.

6. 가짜 ChatGPT나 Claude를 이미 설치했다면?

만약 공식 사이트가 아닌 곳에서 ChatGPT 또는 Claude 설치 파일을 다운로드해 실행했다면 다음과 같이 대응하는 것이 좋습니다.

단순히 파일을 다운로드하기만 했다면 실행한 경우보다 위험이 낮을 수 있지만, 파일을 실행했거나 관리자 권한을 허용했다면 추가 점검이 필요합니다.

첫 번째, 의심스러운 프로그램 실행을 중단합니다

정체가 불분명한 AI 프로그램을 실행 중이라면 사용을 중단하세요.

악성코드 감염이 강하게 의심된다면 추가 통신을 막기 위해 PC의 인터넷 연결을 일시적으로 끊는 것도 도움이 됩니다.

두 번째, 윈도우 보안 검사를 실행합니다

Windows 11에서는 기본으로 제공되는 Microsoft Defender를 이용해 악성코드를 검사할 수 있습니다.

시작 메뉴에서 ‘Windows 보안’을 검색합니다.
‘바이러스 및 위협 방지’를 선택합니다.
‘검사 옵션’으로 이동합니다.
‘전체 검사’를 선택해 검사를 진행합니다.
감염이 의심되거나 제거되지 않는 항목이 있다면 ‘Microsoft Defender 오프라인 검사’를 고려합니다.

오프라인 검사는 컴퓨터를 다시 시작해야 하므로 중요한 작업을 저장한 뒤 진행해야 합니다.

세 번째, 감염 여부를 추가로 확인합니다

보안 검사에서 위협이 발견되었다면 검사 결과와 탐지된 파일을 확인하세요.

다만 악성 프로그램을 삭제했다고 해서 모든 구성요소가 제거됐다고 보장할 수는 없습니다.

이번 Yoba 악성코드처럼 작업 스케줄러에 실행 항목을 등록하는 경우에는 악성 파일이 반복 실행되도록 설정되어 있을 수도 있습니다.

보안 프로그램에서 반복적으로 같은 악성코드가 발견되거나 감염이 계속 의심된다면 전문가의 도움을 받아 시스템을 점검하는 것이 좋습니다.

네 번째, 중요한 계정을 보호합니다

의심스러운 프로그램에 로그인 정보를 입력했거나 정보 탈취가 우려된다면 신뢰할 수 있는 다른 기기에서 비밀번호를 변경하세요.

이메일, 금융서비스 등 중요한 계정부터 점검하고 가능한 경우 2단계 인증을 활성화하는 것이 좋습니다.

이번 분석에서 최종 확인된 악성코드는 암호화폐 채굴 프로그램이지만, 추가 악성코드를 실행할 수 있는 구조이므로 감염된 PC에서는 중요한 로그인 작업을 피하는 편이 안전합니다.

7. 가짜 AI 프로그램 관련 자주 묻는 질문

ChatGPT 공식 프로그램에도 악성코드가 들어 있나요?

이번 사건은 ChatGPT 공식 프로그램 자체가 감염됐다는 의미가 아닙니다.

공격자가 정상적으로 서명된 실행 파일을 악성 DLL과 함께 묶어 배포한 사례입니다.

공식 다운로드 경로에서 설치하는 것과 출처가 불분명한 설치 패키지를 실행하는 것은 구분해야 합니다.

GitHub에서 받은 프로그램은 모두 위험한가요?

그렇지 않습니다.

GitHub에는 정상적인 오픈소스 프로젝트와 공식 프로그램이 많이 배포됩니다.

다만 누구나 저장소를 만들 수 있으므로 프로젝트 소유자와 공식 배포 여부를 확인해야 합니다.

백신에서 악성코드가 발견되지 않으면 안전한가요?

백신 검사에서 위협이 발견되지 않았다는 이유만으로 모든 파일이 안전하다고 단정할 수는 없습니다.

실제로 Yoba 악성코드는 분석 환경을 감지하고 실행을 지연시키는 등의 방식으로 탐지를 어렵게 만들었습니다.

따라서 보안 검사와 함께 공식 다운로드 경로를 이용하는 것이 중요합니다.

가짜 AI 프로그램을 설치하면 개인정보도 유출되나요?

이번에 확인된 악성코드의 최종 실행 프로그램은 암호화폐 채굴 도구였습니다.

하지만 악성코드 로더가 다른 프로그램도 실행할 수 있도록 만들어졌기 때문에 향후 변종에 따라 피해 유형이 달라질 수 있습니다.

개인정보 유출 여부는 실제 감염된 악성코드와 실행된 기능에 따라 달라지며, 모든 감염 사례에서 개인정보가 유출됐다고 볼 수는 없습니다.

AI 프로그램을 설치할 때는 다운로드 경로부터 확인하세요

이번 Yoba 악성코드 유포 사건은 유명 AI 서비스의 이름과 정상 프로그램의 디지털 서명까지 공격에 악용될 수 있다는 점을 보여줍니다.

특히 사용자가 검색엔진이나 GitHub에서 프로그램을 찾는 과정 자체가 공격의 출발점이 될 수 있다는 사실을 기억할 필요가 있습니다.

AI 프로그램을 설치할 때는 이름이나 다운로드 페이지의 디자인만 보고 판단하지 말고 공식 개발사의 홈페이지에서 제공하는 파일인지 확인하세요.

이미 출처가 불분명한 설치 파일을 실행했다면 보안 검사를 진행하고 중요한 계정의 안전성을 점검하는 것이 좋습니다.