전 세계 5,400개 이상의 해킹된 웹사이트(주로 워드프레스·프레스타숍 기반)가 방문자에게 악성코드를 퍼뜨리는 데 악용되고 있습니다. 공격자는 악성 스크립트를 블록체인(BNB 스마트 체인 테스트넷)에 저장해 차단이 매우 어렵고, 내용을 언제든 바꿀 수 있는 구조를 만들었습니다. 방문자에게는 가짜 보안 인증(CAPTCHA) 화면을 보여주고 직접 명령어를 실행하도록 유도해 최종 악성코드를 설치하는 '클릭픽스(ClickFix)' 방식을 씁니다. 최근에는 웹브라우저의 실시간 통신 기술(WebRTC)을 이용해 일반 보안 장비의 탐지를 피하는 변종까지 등장했습니다. 워드프레스 등 CMS를 운영하는 관리자는 자바스크립트 파일 변조 여부를 즉시 점검하고, 플러그인을 최신 버전으로 유지해야 합니다.
넷스코프 위협 연구소가 전 세계 5,400개 이상의 해킹된 웹사이트(워드프레스·프레스타숍 기반)가 클릭픽스 공격의 유포 거점으로 악용된 캠페인을 확인했다. 악성 스크립트는 BNB 스마트 체인 테스트넷 스마트 컨트랙트에 저장되는 '이더하이딩(EtherHiding)' 기법을 사용했다.
2,200개 이상의 조직이 침해된 사이트와 연관됐으며, 병원·소매업·서비스업 등 업종과 지역을 가리지 않았다. 8월에는 하루 최대 400개 사이트가 활동하는 등 피해 규모가 지속 확대되고 있다.
공격자가 CMS 취약점(초기 침해 경로는 미확인)을 이용해 웹사이트에 악성 스크립트를 삽입하고, 블록체인을 C2(명령제어) 대안으로 활용했다. 도메인 차단 등 전통적 방어가 통하지 않으며, WebRTC 변종은 일반 HTTP 기반 보안 장비의 탐지도 우회한다.
넷스코프는 BSC 테스트넷 RPC 엔드포인트 차단, WebRTC 기반 비웹 UDP 트래픽 모니터링을 권고했다. CMS 관리자는 자바스크립트 파일 무결성 점검, 위장 플러그인 디렉터리 확인, 플러그인·CMS 최신화를 수행해야 한다.
클릭픽스 공격은 사용자가 직접 명령어를 실행해야 감염되므로, 임직원 대상 '가짜 CAPTCHA·실행창 유도 화면' 인식 교육이 즉각적인 피해를 막는 핵심이다. BSC 테스트넷(bsctestapi.bnbchain.org 등) RPC 접근을 방화벽·프록시에서 기본 차단하는 것을 권장한다.
본문
전 세계 5,400개 이상의 해킹된 웹사이트가 블록체인에 저장된 악성 스크립트를 이용해 방문자에게 클릭픽스 공격을 유포한 사실이 확인됐다. 공격 대상이 된 사이트는 주로 워드프레스와 프레스타숍 기반의 중소기업 웹사이트였다.
넷스코프 위협 연구소는 9월 3일 이번 공격 캠페인 분석 결과를 공개했다. 조사 기간 확인된 침해 사이트는 5,400개를 넘었고 관련 조직도 전 세계 2,200곳 이상이었다. 병원과 배관업체, 소규모 온라인 쇼핑몰 등 업종과 지역도 다양했다. 사이트가 처음 어떤 방법으로 해킹됐는지는 아직 확인되지 않았다.
블록체인에서 공격 코드 받아 실행
공격자는 해킹한 웹사이트에 악성 스크립트를 삽입했다. 사이트 방문자가 페이지를 열면 이 스크립트가 비엔비 스마트 체인(BNB Smart Chain·BSC) 테스트넷의 스마트 컨트랙트에 접속해 다음 단계 공격 코드를 받아왔다.
이처럼 악성코드나 공격 설정 정보를 블록체인의 스마트 컨트랙트에 저장하는 기법을 '이더하이딩(EtherHiding)'이라고 한다.
공격자가 BSC 메인넷이 아닌 테스트넷을 이용한 점도 특징이다. 테스트넷은 개발자가 블록체인 프로그램을 시험할 수 있도록 만든 환경으로 비용 부담이 거의 없다. 공격자는 이를 악성 스크립트를 저장하고 변경하는 공간으로 악용했다.
기존 악성코드 유포 서버는 도메인이나 서버를 차단하면 공격을 중단시킬 수 있다. 반면 스마트 컨트랙트를 이용하면 공격자가 계약 내용만 변경해 해킹된 여러 사이트에서 새로운 공격 코드를 다시 불러오도록 만들 수 있다.
가짜 캡차 보여주고 파워셸 실행 유도
방문자가 해킹된 사이트에 접속하면 정상적인 인증 절차처럼 보이는 가짜 캡차(CAPTCHA) 화면이 나타났다.
화면에서는 윈도우 '실행' 창을 열고 클립보드에 복사된 명령어를 붙여 넣도록 유도했다. 사용자가 지시에 따라 명령을 실행하면 파워셸(PowerShell) 등을 통해 최종 악성코드가 내려받아져 실행되는 방식이다.
중요한 점은 웹사이트를 방문했다고 바로 악성코드가 설치되는 것은 아니라는 것이다. 기존 클릭픽스 방식에서는 사용자가 직접 명령어를 붙여 넣고 실행해야 감염 단계로 넘어간다.
넷스코프 조사에서는 올해 봄 이후 BSC 테스트넷에 접속하는 침해 사이트가 지속적으로 늘었다. 평일 기준 하루 300개 이상의 해킹된 사이트가 활동했으며, 8월에는 하루 약 400개 사이트가 관찰된 날도 있었다.
웹RTC 이용한 은밀한 변종까지 발견
공격자는 최근 클릭픽스 화면을 거치지 않는 새로운 방식도 사용하기 시작했다.
넷스코프가 일부 해킹 사이트를 분석한 결과 웹RTC(WebRTC) 데이터 채널을 이용해 공격자의 명령제어 서버와 암호화 통신을 만드는 코드가 발견됐다.
웹RTC는 웹브라우저에서 영상통화나 실시간 데이터 전송 등에 사용되는 기술이다. 정상적인 웹RTC 연결에서는 서로 연결 정보를 교환하는 절차가 필요하지만 이번 악성 스크립트는 필요한 응답값을 코드 내부에 미리 넣어 정상적인 연결 절차 일부를 건너뛰었다.
공격 서버의 IP 주소와 UDP 포트, 인증에 필요한 값도 코드에 포함됐다. 연결이 만들어지면 공격 서버가 자바스크립트(JavaScript) 코드를 보내고 브라우저는 이를 메모리에서 조립해 실행했다. 일부 과정에서는 파일을 디스크에 저장하지 않았다.
이 방식은 일반적인 HTTP 웹 트래픽만 검사하는 보안 장비에서 공격 통신을 발견하기 어렵게 만들 수 있다.
사이트 관리자, CMS 파일 변조 여부 확인해야
이번 공격은 웹사이트 한 곳을 감염시키는 데 그치지 않는다. 정상 중소기업 사이트를 악성코드 유포망으로 이용하고, 실제 공격 코드는 블록체인에서 받아오는 구조다.
넷스코프는 보안 담당자에게 BSC 테스트넷 RPC 접속을 점검하고 필요하지 않은 경우 관련 엔드포인트를 차단할 것을 권고했다. HTTP 트래픽뿐 아니라 웹RTC에서 이용할 수 있는 비웹 UDP 통신도 살펴볼 필요가 있다고 설명했다.
워드프레스 등 CMS를 운영하는 사이트 관리자는 자바스크립트 파일에 알 수 없는 코드가 추가됐는지, 정상 플러그인으로 위장한 디렉터리가 만들어졌는지 확인해야 한다. 플러그인과 CMS를 최신 상태로 유지하고 웹 파일의 무결성을 주기적으로 확인하는 것도 필요하다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
