클릭픽스 악성코드 캠페인, 새로운 전달 전술로 돌아오다

요약

새로운 ClickFix 캠페인이 가짜 Cloudflare 확인 페이지를 이용하여 macOS 및 Windows 사용자를 대상으로 하는 것이 확인되었습니다. 이 캠페인은 악성 도메인을 사용하여 기만적인 콘텐츠를 호스팅하고 맬웨어를 배포합니다. 이번 조사 동안 서버 오류와 해결 실패로 인해 특정 맬웨어 페이로드를 회수할 수 없었습니다.

조사

조사자는 가짜 확인 페이지로 인해 생성된 트래픽을 분석하고 특정 악성 도메인에 호스팅된 URL 체인을 확인했습니다. Windows용 맬웨어를 회수하려는 시도는 403 금지 오류로 이어졌으며, macOS 전용 명령은 해결에 실패한 도메인으로 이어졌습니다. 조사는 URL 패턴과 기만적인 스크립트에 사용된 호스팅 인프라에 중점을 두었습니다.

완화

사용자들은 가짜 확인 페이지를 인식하고, 예상치 못한 브라우저 프롬프트에서 제안하는 명령 실행이나 파일 다운로드를 피하도록 교육해야 합니다. 조직은 이 캠페인에서 확인된 알려진 악성 도메인을 차단하기 위해 웹 필터링을 구현해야 합니다. 웹 기반 상호작용 후 이상한 프로세스 실행을 모니터링하는 것도 권장됩니다.

대응

식별된 악성 도메인과의 통신이 감지되면, 영향을 받은 호스트를 네트워크에서 격리하십시오. 엔드포인트의 포렌식 분석을 수행하여 어떤 명령이 실행되었는지 또는 맬웨어가 성공적으로 다운로드되었는지를 확인하십시오. 웹 프록시 로그를 검토하여 확인된 인프라와 통신하는 다른 잠재적 손상 내부 호스트를 식별하십시오.

시뮬레이션 실행

• 공격 내러티브 & 명령들: 공격자는 사용자를 가짜 ‘Cloudflare 확인’ 페이지로 방문하도록 성공적으로 사회공학적으로 유도했습니다. 페이지가 로드되면, 브라우저는 자동으로 공격자가 제어하는 도메인에 여러 요청을 합니다. js-static.cfd 는 기만적인 시각 요소(폰트 및 로고)와 핵심 악성 로직을 가져오기 위한 것입니다 (embed.js). 이 시뮬레이션은 curl 을 사용하여 이러한 특정 URL에 대한 브라우저의 GET 요청을 모방하여 프록시 기반 탐지 규칙을 유발합니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # ClickFix 캠페인 시뮬레이션 스크립트
  # 목적: Sigma 규칙 패턴과 일치하는 텔레메트리 생성
  
  echo "[*] ClickFix 시뮬레이션 시작..."
  
  # 대상 도메인: js-static.cfd
  # 탐지 로직에서 식별된 다양한 URL 시뮬레이션
  
  echo "[+] 시뮬레이션: 악성 임베드 스크립트 로드 중..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] 시뮬레이션: API 텔레메트리 히트..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] 시뮬레이션: 가짜 Cloudflare 자산 로드 중 (로고/폰트)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] 시뮬레이션: API 트랙 이벤트..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] 시뮬레이션 완료. SIEM에서 알림을 확인하십시오."

• 정리 명령:

  # 시스템에 영구적인 변경 사항 없음. 
  # 파일이 다운로드된 경우, 이를 제거하십시오.
  rm -f embed.js CF-Logo*.png
  echo "[*] 정리 완료."