클릭픽스 트레이드크래프트, 클립보드 기반 공격을 넘어 진화하다

요약

ClickFix는 가짜 브라우저 확인 프롬프트를 통해 사용자를 속여 악성 명령을 실행하게 만드는 사회 공학 기법입니다. 위협 행위자들은 RAT, 로더, 인포스틸러를 포함한 다양한 페이로드를 전달하기 위해 이 방법을 계속 발전시키고 있습니다. 최신 변종은 스테가노그래피 전달 및 브라우저 캐시를 기반으로 한 실행 체인을 통합하고 있습니다.

조사

Huntress는 malvertising, 타이포스쿼팅, SEO 포이즈닝 캠페인을 포함하는 여러 ClickFix 변종을 조사하였습니다. 연구자들은 DuskDesk와 같은 Node.js 기반 RAT, Microsoft의 정품 바이너리와 함께 DLL 사이드로딩 및 PNG 스테가노그래피를 사용한 공격 체인을 확인하였습니다. 조사 과정에서 기본 Windows 프로토콜을 통한 도메인 컨트롤러를 목표로 한 측면 이동 활동도 밝혀졌습니다.

완화

조직은 사용자가 웹 페이지에서 터미널이나 실행 대화 상자에 명령을 붙여넣지 않도록 교육해야 합니다. 기술적 통제에는 애플리케이션 허용 목록 작성, Temp와 같은 사용자 쓰기 가능 위치에서의 실행 차단, 의심스러운 예약된 작업 또는 실행 키 모니터링이 포함되어야 합니다. 로컬 관리자 권한을 제한하는 것도 강력히 권장됩니다.

대응

ClickFix 활동이 감지되면 보안 팀은 정적인 IOC에만 의존하지 않고 의심스러운 행동의 연쇄에 초점을 맞추어야 합니다. 브라우저에서 cmd.exe 또는 PowerShell을 스폰하는 것, Temp 디렉토리에 뜻밖의 압축 파일이 나타나는 것, 새롭게 생성된 예약된 작업을 조사해야 합니다. 비허가된 역방향 SSH 터널 및 node.exe.

시뮬레이션 실행

• 공격 서사 및 명령: 적은 사용자가 다운로드한 파일을 실행하여 브라우저 오류를 “수정”하도록 유도하는 사회 공학 전술(ClickFix)을 사용합니다. 이 시뮬레이션에서는 사용자가 폴더에서 .bat 파일을 실행하여 PowerShell 명령을 실행하는 방식으로 이를 모방합니다. 이는 규칙이 감지할 수 있는 특정 텔레메트리(cmd.exe가 PowerShell을 생성하고 .bat 파일을 실행하는 것)를 생성합니다. cmd.exe to execute a PowerShell command. This creates the specific telemetry (cmd.exe spawning PowerShell and the execution of a .bat file) that the rule is designed to catch.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: ClickFix 스타일의 행동
  # 1. 다운로드한 페이로드를 모방하기 위한 더미 배치 파일 생성
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. 배치 파일 실행 (이는 규칙의 'selection_batch' 부분을 트리거합니다)
  Write-Host "[!] 악성 배치 파일 시뮬레이션 실행 중..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. 탐색기에서 PowerShell 생성 시뮬레이션 (이는 'selection_powershell'을 트리거합니다)
  # 참고: 스크립트에서 explorer.exe 상위 실행을 시뮬레이션하려면 하위 쉘 접근 방식을 사용합니다
  Write-Host "[!] 탐색기 컨텍스트에서 PowerShell 생성 시뮬레이션 중..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• 정리 명령:

  # 정리: 시뮬레이션된 악성 파일 제거
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] 정리 완료."