PC와 Mac을 동시에 감염시키는 ClickFix 공격이 급속 확산 중

본문

불과 얼마 전까지만 해도 ClickFix 공격은 흔치 않은 수법이었습니다. 그러나 이제 이 기법은 완전히 주류가 됐습니다. 필요한 것은 해킹당한 웹사이트 하나, 가짜 CAPTCHA 오버레이, 그리고 단 한 줄의 터미널 명령어뿐입니다. 워낙 많은 방문자가 속아서 명령어를 붙여넣고 실행하기 때문에, 거의 모든 악성코드 유포자가 이 기법을 채택했고 심지어 크렘린(Kremlin) 지원 해킹 그룹들까지 합류하고 있습니다.

공격의 확산과 구조

독립 보안 연구자 Kevin Beaumont는 목요일에 'Reddit이 ClickFix로 컴퓨터가 감염됐다는 글로 도배되고 있다'며 '수많은 정상 웹사이트가 해킹당해 가짜 CAPTCHA 프롬프트를 띄우고 있다'고 지적했습니다. 공격은 대개 Cloudflare를 사칭한 단순한 CAPTCHA 이미지로 시작합니다. 사용자가 박스와 상호작용하면 악성 명령어가 알아보기 어렵게 난독화된 한 줄의 텍스트가 표시되고, 사용자에게 이 텍스트를 복사해 Windows 실행(Win+R), PowerShell, 또는 macOS 터미널에 붙여넣고 Enter를 누르라고 지시합니다.

피로감을 이용하는 사회공학

숙련된 인터넷 사용자들은 이 공격을 쉽게 무시하며 속는 사람들의 어리석음을 탓하곤 합니다. 그러나 기사는 이것이 피해자 탓이 아니라고 반박합니다. 일반 사용자에게 컴퓨터와 인터넷 사용은 이미 지나치게 어려워져 있습니다. 닫을 수 없는 전면 광고(interstitial), 끝없이 그림을 분석해야 하는 CAPTCHA, 찾는 기능을 파묻어버리는 끊임없이 바뀌는 인터페이스에 노출되다 보니, 사용자들은 터무니없고 번거로워 보이는 지시에도 무감각해졌습니다. ClickFix 공격자들은 바로 이 피로감을 이용합니다. 지시를 내리는 사이트는 사용자가 수년간 써온 정상 사이트이며, 요구되는 행동도 지난 10년간 해오던 것과 별반 다르지 않아 보입니다. 컴퓨터 보안에 대한 확실한 이해가 없는 사용자가 망설일 이유가 없는 구조인 것입니다.

개발자와 관리자에게 주는 시사점

이 기사는 ClickFix가 기술적 취약점이 아니라 사용자 행동과 신뢰 구조를 공격한다는 점을 보여줍니다. 정상 도메인의 신뢰를 우회하므로 단순한 도메인 차단으로는 대응이 어렵고, 사용자가 직접 명령을 실행하므로 파일 다운로드 기반 탐지도 무력화됩니다. 조직 차원에서는 사용자의 스크립트 실행 권한 자체를 제한하는 것이 효과적인 통제로 지적되고 있습니다.

Reddit 반응

• @u/Ghawblin — 이 문제의 상당 부분은 CAPTCHA 번아웃에서 비롯된다고 봅니다. 사용자들은 일상적인 것에 접근하기 위해 바보 같은 절차를 거치도록 사전 조건화돼 있습니다. 규모 있고 성숙한 조직의 사용자라면 애초에 스크립트를 실행할 수 없어야 하고, 실행할 수 있는 사용자는 알아서 조심하는 사람이어야 합니다. 하지만 그런 통제가 없는 개인 PC와 소규모 사업장이 걱정됩니다.

원문: Ars Technica / 번역·요약: Trawling