보안 공격이 항상 취약점이나 악성 첨부파일에서 시작하는 것은 아니다. ClickFix는 사용자가 직접 정상적인 시스템 도구로 악성 명령을 실행하게 만드는 사회공학 기법이다. 러시아 군사정보기관 GRU 산하 해킹 조직 샌드웜도 이 수법을 사용한 것으로 확인되면서, 웹사이트가 안내하는 행동 자체를 경계해야 할 필요성이 커졌다.1
사용자가 공격 절차를 완성한다
ClickFix는 주로 가짜 CAPTCHA, Cloudflare 인증 화면, 브라우저 업데이트 알림으로 위장한다. 화면은 문제 해결이나 본인 인증에 필요한 절차인 것처럼 Windows 실행 창을 열고, 클립보드에 복사된 명령을 붙여넣은 뒤 실행하라고 안내한다.2
핵심은 공격자가 취약점을 직접 악용하는 대신 사용자가 실행 단계에 참여하도록 만든다는 점이다. 수동으로 붙여넣은 명령은 정상 프로세스인 explorer.exe에서 시작되고 PowerShell 같은 기본 도구를 이용할 수 있어, 정상적인 사용자 활동과 구별하기 어려울 수 있다.2
따라서 링크와 첨부파일만 조심하는 기존 보안 습관으로는 충분하지 않다. 웹페이지가 운영체제 명령 실행을 요구하는 순간을 새로운 위험 신호로 봐야 한다.
익숙한 주소와 화면도 신뢰의 근거가 아니다
ClickFix는 공격 전용 사이트뿐 아니라 침해된 정상 웹사이트를 통해서도 배포된다. 새 도메인은 평판 정보가 쌓이기 전까지 도메인 평판 기반 탐지를 피할 수 있다. 반대로 오래된 정상 도메인에 가짜 인증 화면이 삽입되면 기존의 깨끗한 평판과 정상 콘텐츠가 공격 탐지를 방해할 수 있다.2
샌드웜 사례에서도 우크라이나 당국은 가짜 CAPTCHA와 PowerShell 명령을 표시한 침해 웹사이트 10개를 발견했다. 최소 한 조직의 네트워크에서는 샌드웜의 맞춤형 악성코드 FreakyPoll에 감염된 기기가 확인됐다.1
공격 이후 사용되는 도구도 다양하다. GHETTOVIBE는 시작프로그램 디렉터리에 VBS 파일을 저장하도록 설계된 변종 중 하나다. PowerShell 스크립트인 SCOUTCURL은 감염된 컴퓨터의 특성, 설치 프로그램, 파일과 브라우저 데이터 등을 수집해 외부로 전송한다.1
가장 분명한 신호는 ‘명령 실행 요구’다
정상적인 CAPTCHA나 웹 인증은 사용자의 신원을 확인하기 위해 PowerShell이나 Windows 실행 창을 열게 하지 않는다. 웹페이지가 다음 행동을 요구한다면 즉시 중단해야 한다.
Win+R로 실행 창 열기PowerShell이나 터미널 실행
클립보드의 내용을 붙여넣기
복사한 시스템 명령을 Enter로 실행
인증이나 업데이트를 명분으로 운영체제 설정 변경
익숙한 사이트 주소나 그럴듯한 인증 디자인만으로 안전을 판단해서도 안 된다. ClickFix의 위험성은 화면의 외형보다 사용자가 수행하도록 유도하는 행동에 있기 때문이다.
조직 역시 도메인 평판에만 의존하지 말고 가짜 인증 문구, 클립보드 복사 API, 터미널 실행 안내, 시스템 명령 실행 패턴을 함께 탐지해야 한다.2 사용자 교육도 “수상한 링크를 누르지 말라”는 수준에서 더 나아가 “웹사이트가 지시하는 명령을 직접 실행하지 말라”는 원칙을 포함해야 한다.3
ClickFix가 주는 가장 실용적인 교훈은 단순하다. 웹페이지는 정보를 보여줄 수 있지만, 사용자의 컴퓨터에서 명령을 실행하도록 요구할 이유는 거의 없다. 주소나 디자인보다 요청받은 행동을 먼저 확인하는 것이 이 공격을 막는 가장 중요한 판단 기준이다.
1Now, even Russia's most elite hackers are using Clickfix to infect devices
2ClickFix: The Attack That Turns Users Into Their Own Attackers
3Think before you Click(Fix): Analyzing the ClickFix social engineering technique
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.