Microsoft, StealC·Amadey 악성 인프라 차단…AI 분석으로 200여 C2 식별

Microsoft 공식 발표와 보안 블로그에 따르면 회사의 Digital Crimes Unit은 2026년 6월 24일 Europol 및 업계 파트너와 함께 정보탈취 악성코드 StealC와 악성코드 로더 Amadey 인프라를 겨냥한 차단 조치를 공개했다. Microsoft는 두 악성코드 계열이 같은 인프라에 의존한다는 점을 AI 보조 분석으로 확인하고, 200개가 넘는 명령제어 서버와 도메인을 식별해 차단·정지·압류 절차를 진행했다고 밝혔다.

StealC는 브라우저 비밀번호, 쿠키, 세션 토큰, 지갑 정보 등을 훔치는 정보탈취 악성코드로 서비스형 악성코드 생태계에서 유통된다. Amadey는 감염 기기에 추가 악성코드를 내려받게 하는 로더로, StealC를 비롯한 여러 악성코드 배포에 쓰여 왔다. Microsoft는 두 도구가 함께 사용될 경우 초기 감염, 자격증명 탈취, 접근권 판매, 랜섬웨어나 금융사기 등 후속 공격으로 이어지는 사이버 범죄 공급망의 핵심 고리가 된다고 설명했다.

Microsoft On the Issues 발표에 따르면 Amadey와 StealC는 5월 첫 2주 동안 전 세계 14만 대가 넘는 감염 컴퓨터와 연계됐다. 회사는 이번 작전 시작 이후 1만8000대 이상의 피해 컴퓨터를 확인했고, 통신사업자와 협력해 영향을 받은 고객 보호를 지원하고 있다고 밝혔다.

이번 조치에서 주목되는 부분은 AI 분석의 활용이다. Microsoft는 Copilot을 포함한 AI 도구로 악성코드 바이너리를 분석하고, 사람이 복잡한 코드를 일일이 살피던 작업을 자연어 질의와 자동화된 분석으로 단축했다고 밝혔다. 이 과정에서 두 악성코드 계열이 공유하는 인프라 연결고리를 더 빠르게 찾았고, 법무팀은 두 도구를 별개 사건이 아니라 하나의 공모 구조로 다루는 근거를 확보했다고 설명했다.

Microsoft Security Blog는 StealC와 Amadey가 기업 보안에 미치는 위험도 함께 짚었다. 정보탈취 악성코드는 개인 기기에서 시작된 감염을 기업 침해로 확대할 수 있다. 직원의 개인 PC에서 탈취된 VPN 자격증명, SSO 토큰, 세션 쿠키가 기업 계정 접근에 악용될 수 있기 때문이다. 이 경우 공격자는 정상 계정으로 로그인해 다중인증을 우회하는 것처럼 보일 수 있어 탐지가 늦어질 수 있다.

Microsoft는 방어 측면에서 클라우드 기반 보호 기능, 악성 사이트 차단, 보안 서비스 변조 방지, 공격 표면 축소 규칙, 자격증명 위생 관리의 중요성을 강조했다. 특히 정보탈취 악성코드가 관리되지 않는 개인 기기나 광고·검색 결과를 악용한 다운로드 경로에서 시작될 수 있다는 점은 기업 보안이 엔드포인트 관리와 신원 보호를 함께 다뤄야 한다는 의미를 갖는다.

이번 조치는 단일 악성코드 제거보다 사이버 범죄 생태계의 조립 구조를 끊는 데 초점을 맞췄다는 점에서 의미가 있다. 로더, 정보탈취 도구, 접근권 중개, 랜섬웨어 운영이 느슨하게 연결된 구조에서는 한 단계만 차단해도 다른 단계가 빠르게 복구될 수 있다. Microsoft는 법적 조치, 업계 파트너십, AI 기반 분석을 결합해 여러 지점을 동시에 압박하는 방식이 필요하다고 설명했다.

다만 Microsoft의 차단 조치가 곧바로 모든 감염과 후속 공격 위험을 없앴다는 뜻은 아니다. 회사도 사이버 범죄자들이 인프라를 재구축할 수 있다고 보고 지속 추적을 예고했다. 조직 입장에서는 이번 조치를 계기로 정보탈취 악성코드 감염 징후, 세션 토큰 악용, 개인 기기에서 유출된 업무 계정의 재사용 가능성을 함께 점검할 필요가 있다.

출처: Microsoft On the Issues https://blogs.microsoft.com/on-the-issues/2026/06/24/scaling-cybercrime-disruption-through-innovation-and-ai/ ; Microsoft Security Blog https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/