보안 기업 헌트리스(Huntress)가 챗GPT의 '맞춤형 GPT' 기능을 악용한 새로운 공격 사례를 공개했습니다. 공격자는 정상 서비스인 것처럼 꾸민 가짜 GPT를 만들고, 구글 검색 광고를 이용해 사용자를 유인했습니다. 이용자가 GPT가 안내한 가짜 인증 화면에서 스스로 파워셸(PowerShell) 명령어를 붙여넣고 실행하게 만드는 이른바 '클릭픽스(ClickFix)' 수법이 사용됐습니다. 이 명령이 실행되면 정상 프로그램으로 위장한 악성 파일이 설치되고, 최종적으로 공격자가 시스템을 원격 조종할 수 있는 악성코드(RAT)가 심어집니다. 오픈AI가 문제의 GPT를 삭제했지만 이틀 뒤 방식만 바꾼 두 번째 GPT가 다시 발견돼, 공격자들이 이 수법을 계속 반복해서 쓰고 있는 것으로 나타났습니다.
공격자가 챗GPT의 맞춤형 GPT 기능으로 정상 제품을 사칭한 가짜 GPT를 만들고, 구글 검색 광고를 통해 이용자를 유인해 악성 명령을 직접 실행하도록 유도한 '클릭픽스' 공격이 확인됐다.
최소 40명이 감염됐으며, 이 중 최소 2건은 맞춤형 GPT와 직접 연관된 것으로 확인됐다. 감염되면 공격자가 원격으로 시스템을 조종하고 추가 악성코드를 설치할 수 있다.
이용자가 구글 광고를 통해 가짜 GPT에 접속한 뒤, 가짜 인증(캡차) 화면의 안내에 속아 직접 파워셸 명령어를 붙여넣고 실행했다. 이후 DLL 사이드로딩(정상 서명 프로그램이 악성 DLL을 불러오게 하는 기법) 등으로 악성코드가 설치되고 재부팅 후에도 살아남도록 설정됐다.
오픈AI는 문제가 된 첫 번째 GPT를 삭제했으나, 이틀 뒤 유사한 방식의 두 번째 GPT가 다시 발견됐다. 헌트리스는 이 캠페인을 공개하며 경고에 나섰다.
이용자에게 파워셸이나 명령어를 직접 실행하라고 안내하는 화면은 정상 서비스에서 나올 수 없는 요청이므로 그 자체로 의심해야 하며, 광고로 노출되는 검색 결과와 AI 서비스의 공식 여부를 별도로 확인하는 절차가 필요하다.
본문
챗GPT 맞춤형 GPT로 정상 제품을 사칭하며 이용자에게 악성 명령을 직접 실행하게 만든 사례를 보안 기업 헌트리스(Huntress)가 밝혔다. 이용자가 스스로 명령어를 붙여 넣게 하는 이른바 '클릭픽스'(ClickFix) 공격이다.
헌트리스에 따르면 공격자는 맞춤형 GPT 두 개를 만들어 이용자 질문에 구글 사이트 링크로 답하게 설정했다. 링크 끝엔 클릭픽스 페이지가 있었다.
맞춤형 GPT는 특정 지시와 도구를 담아 만든 챗GPT의 변형판이다. chatgpt.com에서 운영되고, 화면 위쪽에 이름과 제작자 정보가 표시된다.
피해자들은 구글에서 챗GPT를 검색했다가 맨 위에 뜬 광고를 눌러 이 GPT에 들어갔다. 공격자는 GPT 이름을 'Plus 5.6'으로 짓고 제작자를 '커뮤니티 빌더'로 꾸몄다. GPT는 기본 도메인에선 이용이 제한된다는 가짜 알림을 띄우고, 업그레이드하거나 서비스를 쓰려면 대체 도메인으로 가라고 안내했다.
구글 사이트로 만든 이 가짜 대체 도메인은 클라우드플레어 캡차 확인 화면을 보여 줬다. 이 페이지는 확인 절차인 척하며 파워셸 명령을 실행하라고 지시했다. 명령이 실행되면 악성 설치 파일이 내려와 실행된다.
첫 번째 GPT가 뿌린 설치 파일은 DLL 사이드로딩 기법을 썼다. 캐논 서명이 붙은 정상 프로그램이 악성 DLL을 불러오게 하는 수법이다. 공격자는 사용자 로그온 때 실행되는 레지스트리 키와 'Canon Configuration Reader'로 위장한 예약 작업을 이용해 재부팅 뒤에도 악성코드가 살아남게 했다.
이어 오디오 파일로 위장한 로더가 보안 장치를 피하고 시스템을 정찰하며 가짜 로딩 화면을 띄웠다. 최종 악성코드는 심하게 난독화된 오디오 파일 속 자체 아카이브에 숨어 있었다. 이 아카이브엔 폴더 315개와 파일 806개가 들어 있었다. 최종 악성코드는 여러 형태의 추가 악성코드를 받아 실행하는 원격제어 악성코드(RAT)다. 이 RAT는 시스템 정보를 모으고, 클라우드플레어와 구글, 쿼드9의 DNS-over-HTTPS를 거쳐 명령제어(C&C) 서버와 통신했다.
헌트리스는 이 캠페인으로 최소 40명이 감염됐다고 밝혔다. 다만 맞춤형 GPT와 직접 연결된 사례는 그중 최소 2건이다.
오픈AI는 25일 문제의 GPT를 삭제했으나 27일 두 번째 GPT가 발견됐다. 최종 악성코드는 같았다. 다만 공격자는 스타독(Stardock) 실행 파일과 조작한 스타독 DLL로 설치 방식을 바꿨고, 로더도 오디오 파일 대신 마이크로소프트 누겟(NuGet) 패키지에 옮겨 담았다.
헌트리스는 "공격자들이 맞춤형 GPT를 사회공학에 악용하는 이 수법으로 성과를 거두고 있으며 계속 이 기법에 기대고 있다"고 밝혔다.
