보안업체 Huntress는 가짜 아마존 로그인과 CAPTCHA를 내세워 사용자가 윈도우 명령을 실행하게 한 ClickFix 공격을 조사했다. 이 공격은 최소 3곳의 Huntress 고객사에 영향을 미쳤으며, 감염 과정에서 정보 탈취 악성코드와 원격 제어 도구 등 여러 악성코드가 설치됐다.
공격자는 구글 검색어 ‘amazon business’의 스폰서 광고를 통해 가짜 아마존 로그인 페이지로 사용자를 유도했다. 페이지에서 이메일이나 전화번호를 입력하고 CAPTCHA 버튼을 누르면 악성 명령이 클립보드에 복사됐다. 이어 웹페이지는 명령을 윈도우 실행 창에 붙여넣으라고 안내했다. macOS 브라우저로 접속한 경우에는 터미널에서 스크립트를 실행하라는 별도 안내가 표시됐지만, Huntress가 조사할 당시 해당 다운로드 주소는 오프라인 상태였다.
악성 명령은 윈도우에 포함된 오래된 네트워크 도구 finger를 이용해 공격자 서버의 .plan 파일에서 스크립트를 가져왔다. 명령은 실행 창에 실제 내용이 드러나지 않도록 꾸며졌고, 원격 파일의 악성 스크립트도 다수의 줄바꿈 아래에 숨겨졌다. 스크립트는 IronPython을 내려받아 추가 코드를 실행했고, 이후 Doina로 분류된 악성코드와 Node.js 기반 구성요소를 설치했다.
Node.js 구성요소는 메모리에서 추가 페이로드를 실행했다. Huntress는 그중 하나를 Lumma Stealer로 추정했으며, 해당 악성코드는 호스트 이름과 사용자 이름 등 정보를 전송하고 브라우저, 암호 관리자, 암호화폐 지갑 앱 등을 대상으로 삼았다. 공격자는 NetSupport 원격 관리 도구의 불법 복제본도 설치했다. 다만 Huntress는 Lumma Stealer 식별에 ‘추정’이라는 단서를 붙였고, 여러 단계의 악성코드 분류도 보안업체들의 분석을 바탕으로 전했다.
Huntress는 가짜 CAPTCHA가 운영체제의 명령 입력창에 임의의 문장을 붙여넣으라고 요구하지 않는다고 강조했다. 조직은 브라우저 기록이나 프록시 로그에서 구글 광고 클릭을 나타내는 URL 경로의 aclk와 쿼리 문자열의 gclid를 찾아 광고에서 악성 사이트로 이어진 경로를 추적할 수 있다. 이 식별 정보를 구글에 신고하면 공격자의 광고 이용을 차단하는 데 도움이 될 수 있다고 Huntress는 설명했다.
Huntress의 Managed ESPM Early Access에는 관리자가 다수 사용자의 윈도우 실행 창 접근을 제한하는 Attack Reduction 기능이 제공된다. 이 기능은 ClickFix의 흔한 실행 경로를 막지만, 공격자가 PowerShell이나 명령 프롬프트, 파일 탐색기 주소 표시줄을 이용하는 경우까지 모두 차단하지는 않는다. Huntress가 올해 들어 확인한 Managed EDR 탐지 신호 가운데 ClickFix는 약 2.2%였으며, 그 탐지의 거의 99%는 심각도가 높았다.
Huntress가 공개한 침해 지표와 관련 자료는 GitHub에서 확인할 수 있다. 공격에 사용된 finger 프로토콜은 기본적으로 79/tcp에서 평문을 전송한다. 조직은 이 포트의 네트워크 트래픽과 함께 광고 클릭 식별자, 보고서에 제시된 도메인·URL을 점검할 수 있다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요