무료 Windows 11 업그레이드를 내세우는 페이스북(Facebook) 광고를 주의해야 합니다. 광고를 클릭하는 순간 악성코드를 다운로드하게 될 수 있습니다.
백신 소프트웨어 업체 말웨어바이츠(Malwarebytes)는 '빠르고 무료'인 Windows 11 업그레이드를 약속하는 페이스북 광고에 대해 경고했습니다. 이 광고들은 마이크로소프트(Microsoft) 로고를 사용해 정품처럼 보이게 만든 뒤, 운영체제(OS) 다운로드 링크를 클릭하도록 사용자를 유도합니다.
Windows 10 지원 종료에 편승한 수법
이 광고들은 Windows 10에서 업그레이드하지 못한 채 방치된 사용자들을 주요 표적으로 삼습니다. 마이크로소프트는 Windows 11을 무료 업그레이드 형태로 제공하지만, 일부 구형 PC는 시스템 요구 사항을 충족하지 못해 업그레이드가 불가능합니다. 그 결과 지난 10월 공식 지원이 종료됐음에도 수백만 대의 구형 PC가 여전히 Windows 10으로 운영되고 있습니다.
말웨어바이츠는 "PC를 최신 상태로 유지하려던 사용자에게 이 광고가 아주 편리한 지름길처럼 느껴질 것"이라며 위험성을 지적했습니다.
정교하게 위조된 가짜 페이지
사기 광고 중 하나는 'Win 11 Pro'라는 이름을 달고 현재 독일에서 활발히 유통 중입니다. 또 다른 광고들은 마이크로소프트와 전혀 관련 없는 'NC Sports - Nasc sports' 같은 이름을 사용해 오히려 쉽게 식별됩니다.
광고를 클릭하면 공식 마이크로소프트 페이지와 똑같아 보이는 도메인으로 연결되지만, 실제로는 다운로드 링크를 통해 악성코드를 유포하기 위해 설계된 사이트입니다. 이 도메인들은 심지어 Windows 11의 최신 연례 업데이트 버전인 '25H2'까지 언급하고 있습니다.
말웨어바이츠는 "로고, 레이아웃, 글꼴은 물론 하단 법적 고지문까지 복제됐다"며 "유일하게 눈에 띄는 차이는 주소창이다. microsoft.com 대신 다음과 같은 유사 도메인이 표시된다"고 설명했습니다.
- ms-25h2-download[.]pro
- ms-25h2-update[.]pro
- ms25h2-download[.]pro
- ms25h2-update[.]pro
흥미로운 점은 악성 도메인이 진짜 PC 사용자만 접속을 허용하도록 작동한다는 것입니다. 봇(bot)이나 보안 연구원의 자동화 검사로 판단되면 트래픽을 Google.com으로 우회시킵니다. 검사를 통과하면 'ms-update32.exe'라는 파일(약 75MB)이 다운로드되는데, 용량까지 감안하면 정품 Windows 설치 프로그램처럼 믿음직스럽게 느껴집니다.
GitHub까지 악용… 비밀번호·암호화폐 지갑 탈취
실제 다운로드 파일은 해커가 장악한 GitHub 페이지에 호스팅되어 있습니다. 설치 프로그램은 정품처럼 포장돼 있지만, 실행 시 저장된 비밀번호, 브라우저 세션, 암호화폐 지갑 데이터를 훔치는 악성 코드를 구동하도록 설계됐습니다.
페이스북 모회사 메타(Meta)는 이번 사건과 관련해 당장의 공식 입장을 밝히지 않았습니다. 다만 사이버 범죄자들이 오랫동안 이 소셜 플랫폼의 광고를 이용해 경계심 없는 사용자들을 노려왔다는 점은 변함이 없습니다. 한편 구글(Google) 크롬 브라우저는 이미 해당 가짜 Windows 11 업그레이드 사이트들을 악성 도메인으로 표시하기 시작했습니다.
말웨어바이츠는 결론적으로 "기억할 것은 Windows 업데이트는 반드시 시스템 설정 안의 Windows Update를 통해서만 받아야 한다. 웹사이트에서도, 소셜 미디어 광고에서도 절대 받으면 안 된다. 마이크로소프트는 페이스북에서 Windows 업데이트 광고를 하지 않는다"고 강조했습니다.