구글에서 '챗GPT 다운로드' 검색해서 받았다면 지금 확인하세요. 진짜 설치 파일 속에 숨은 악성코드 (확인법·안전한 다운로드처)

챗GPT나 클로드를 PC에서 쓰려고 구글에 "ChatGPT 다운로드", "Claude 데스크톱"을 검색해 본 적 있다면 이 글을 꼭 읽어 주세요. 진짜 오픈AI·앤트로픽 설치 파일을 미끼로 악성코드를 함께 심는 가짜 다운로드가 구글 검색 상단에 떠 있었다는 분석이 나왔습니다. 보안업체 체크포인트 리서치가 'Yoba'라는 이름으로 약 두 달간 추적한 수법입니다. 어떻게 속이는지, 내 PC가 걸렸는지 확인하는 법, 안전하게 받는 법까지 정리했습니다.

한 줄 요약

• 깃허브 저장소와 작은 홈페이지를 공식 앱처럼 꾸며 구글 검색 상단에 노출
• 압축 파일 안에 진짜 서명된 설치 파일과 악성 파일(winmm.dll)을 같이 넣음
• 설치 파일을 실행하면 악성 파일이 함께 실행되어 재부팅할 때마다 자동 실행
• 확인된 최종 악성코드는 몰래 가상화폐를 캐는 채굴 프로그램, 다른 악성코드로 바꿔 끼울 수도 있음
• 대상은 윈도우 PC. 공식 사이트나 마이크로소프트 스토어에서만 받으면 피할 수 있음

어떤 이름으로 속였나

가짜 페이지들은 사람들이 실제로 검색할 만한 이름을 붙였습니다.

체크포인트는 이 페이지들이 검색 결과 최적화를 악용(SEO 포이즈닝)해 구글 상단에 올라온 것으로 봤습니다. 깃허브 '별점'을 조작하지 않고도 위에 떴다고 합니다.

왜 속기 쉬운가: 진짜 설치 파일이 들어 있다

이 수법이 무서운 이유는 압축 파일 안의 설치 파일(Setup.exe)이 진짜라는 점입니다.

1. 내려받는 파일은 ZIP 압축 파일입니다.
2. 안에는 오픈AI나 앤트로픽이 디지털 서명한 진짜 설치 파일이 있습니다. 윈도우도 믿을 만한 파일로 봅니다.
3. 같은 폴더에 winmm.dll이라는 악성 파일이 함께 들어 있습니다.
4. 진짜 설치 파일을 실행하면, 윈도우가 같은 폴더의 winmm.dll을 먼저 불러옵니다. 이를 'DLL 사이드로딩'이라고 부릅니다.

서명은 설치 파일 하나만 보증할 뿐, 옆에 놓인 파일까지 보증하지 않습니다. 그래서 "서명된 정품이니 괜찮겠지"라는 판단이 통하지 않습니다.

실행하면 어떻게 되나

보안업체 그리드인소프트 분석에 따르면 이렇게 동작합니다.