clickfix

마이크로소프트 위협 인텔리전스는 X 플랫폼에 게시한 글에서, 침해된 웹사이트 집단이 ClickFix와 EtherHiding 기술을 사용하여 악성 소프트웨어를 전파하고 있으며, 공격 활동이 매일 전 세계 수천 대의 기업 및 소비자 장치를 대상으로 진행되고 있다고 밝혔습니다.공격자는 Base64 인코딩된 JavaScript를 주입하여 BNB 스마트 체인(BNB Smart Chain) RPC 게이트웨이에 연결하고, 스마트 계약에 저장된 다음 단계 지침을 획득합니다. 계약 내용은 배포자 지갑만 수정할 수 있기 때문에 전통적인 하차 수단으로는 대응하기 어렵습니다. 공격은 가짜 인증 코드를 통해 사용자를 유인하여 실행 대화 상자를 열고, 클립보드 내용을 붙여넣고 공격자의 명령을 실행하도록 유도합니다. 이 과정에서 conhost, cmd, PowerShell, mshta 등 다양한 시스템 도구의 남용과 명령 혼동 기술이 포함됩니다. 성공적으로 실행된 후에는 자격 증명이 노출되거나, 지속성이 구축되거나, 수평 이동 및 랜섬웨어 공격이 발생할 수 있습니다.마이크로소프트는 기업에 Defender 다층 방어를 활성화하고, 명령줄 도구를 제한하며, PowerShell 스크립트 로그 기록을 활성화할 것을 권장하고, 사용자에게 출처가 불분명한 명령을 실행 창이나 터미널에 붙여넣지 말 것을 경고합니다.

시장 소식에 따르면, 마이크로소프트 보안 연구팀은 공격자가 2025년 말부터 가짜 macOS 문제 해결 가이드를 게시하여 사용자가 악성 터미널 명령을 실행하도록 유도하고, 이를 통해 암호화 지갑, iCloud 데이터 및 브라우저에 저장된 비밀번호를 훔치고 있다고 밝혔습니다.이러한 가짜 가이드는 Medium, Craft 및 Squarespace와 같은 플랫폼에 게시되며, 사용자가 자주 묻는 질문인 디스크 공간 해제 또는 시스템 오류 수정과 관련하여 사용자가 악성 명령을 복사하여 터미널에 붙여넣도록 유도합니다. 이 명령은 자동으로 악성 소프트웨어를 다운로드하고 실행합니다. ClickFix라는 이름의 이 사회 공학 기술은 피해자가 명령을 능동적으로 실행하기 때문에 macOS의 Gatekeeper 보안 메커니즘을 우회합니다.관련된 악성 소프트웨어 패밀리에는 AMOS, Macsync 및 SHub Stealer가 포함되어 있으며, 이는 Exodus, Ledger 및 Trezor의 암호화 지갑 키와 Chrome 및 Firefox에 저장된 사용자 이름과 비밀번호를 훔칠 수 있습니다. 일부 경우 공격자는 합법적인 지갑 애플리케이션을 삭제하고 트로이 목마 버전으로 교체하기도 합니다. 애플은 macOS 26.4 버전에서 잠재적인 악성 명령의 붙여넣기를 차단하는 보호 기능을 추가했습니다.

네트워크 보안 기관 Moonlock Lab은 최근 암호 해커들이 "ClickFix" 공격 기법을 업그레이드하여 위험 투자 기관으로 가장하고, 소셜 플랫폼을 통해 목표 사용자를 접촉하여 악성 코드를 실행하도록 유도하여 암호 자산을 훔치고 있다고 보고했습니다.공격자는 SolidBit, MegaBit, Lumax Capital 등과 같은 가짜 벤처 캐피탈 기관으로 가장하여 LinkedIn을 통해 협력 제안을 보내고, 피해자를 위조된 Zoom 또는 Google Meet 회의 링크로 유도합니다. 페이지에는 가짜 Cloudflare "나는 로봇이 아닙니다" 인증 버튼이 삽입되어 있으며, 클릭 시 악성 명령이 클립보드에 복사되고 사용자가 터미널에 붙여넣어 실행하도록 유도하여 공격이 완료됩니다. 연구자들은 이 방법이 "피해자가 스스로 명령을 실행하게 함으로써" 전통적인 보안 방어 메커니즘을 회피한다고 지적했습니다.한편, 해커들은 브라우저 확장 프로그램을 탈취하여 공격을 수행하기도 했습니다. 네트워크 보안 회사 Annex Security의 창립자 John Tuckner는 Chrome 플러그인 QuickLens가 2월 1일 소유권을 변경한 후 2주 후에 악성 스크립트를 포함한 새로운 버전을 출시하여 ClickFix 공격을 촉발하고 사용자 데이터를 훔쳤다고 밝혔습니다. 이 플러그인은 약 7,000명의 사용자가 있으며, 현재 상점에서 삭제되었습니다. 보고서에 따르면, 탈취된 확장 프로그램은 암호 지갑 데이터와 니모닉 문구를 스캔하고, Gmail 이메일 내용, YouTube 채널 데이터 및 웹 로그인 또는 결제 정보를 수집합니다.

据 Cointelegraph 报道，黑客正利用 "ClickFix" 공격 수법으로 암호화폐를 훔치고 있으며, 최근 두 건의 공격은 위험 투자 회사를 사칭하고 브라우저 확장 프로그램을 탈취하는 것과 관련이 있습니다.네트워크 보안 회사 Moonlock Lab은 사기꾼들이 SolidBit, MegaBit 및 Lumax Capital과 같은 가짜 VC를 사칭하여 LinkedIn을 통해 사용자에게 협력 기회를 제공한 후, 가짜 Zoom 및 Google Meet 링크를 클릭하도록 유도한다고 보고했습니다. 링크를 클릭하면 사용자는 위조된 Cloudflare "나는 로봇이 아닙니다" 인증 상자가 있는 페이지로 안내되며, 해당 상자를 클릭하면 악성 명령이 클립보드에 복사되고 사용자가 터미널을 열어 이른바 인증 코드를 붙여넣도록 유도되어 공격이 실행됩니다.Moonlock Lab은 이러한 수법이 피해자를 실행 메커니즘으로 만들어 보안 산업의 방어 조치를 우회하게 한다고 지적했습니다. 동시에 해커들은 Chrome 확장 프로그램 QuickLens를 탈취하여 악성 소프트웨어를 퍼뜨리고 있습니다. 이 확장은 사용자가 브라우저에서 직접 Google Lens 검색을 실행할 수 있게 해주며, 소유권이 이전된 후 새 버전에는 ClickFix 공격을 시작하고 정보를 훔칠 수 있는 악성 스크립트가 포함되어 있습니다.이 확장은 약 7000명의 사용자가 있으며, 탈취된 후에는 암호 지갑 데이터와 복구 구문을 검색하여 자금을 훔치고, Gmail 받은편지함 내용, YouTube 채널 데이터 및 웹 페이지 양식에 입력된 로그인 자격 증명이나 결제 정보를 수집합니다. 이 확장은 Chrome 웹 스토어에서 제거되었습니다. ClickFix 기술은 작년부터 해커들 사이에서 유행하고 있으며, 피해자에게 악성 페이로드를 수동으로 실행하도록 강요하여 전 세계 수천 개 기업과 여러 산업에 영향을 미쳤습니다.