사이버 범죄 조직이 5,400개 이상의 중소기업 웹사이트(주로 WordPress·PrestaShop 기반)를 해킹해 악성 코드 배포에 악용하고 있습니다. 이 조직은 'EtherHiding'이라는 기법으로 블록체인 스마트 컨트랙트(탈중앙화된 자동 실행 프로그램)에 악성 코드를 숨겨 놓아, 일반적인 방법으로는 차단하거나 내리기 매우 어렵습니다. 해킹된 사이트를 방문한 사용자에게는 'ClickFix'라는 가짜 CAPTCHA 화면이 나타나고, 속아서 실행하면 PowerShell(윈도우 명령 실행 도구)을 통해 악성 파일이 설치됩니다. 최근에는 WebRTC(브라우저 실시간 통신 기술)를 이용해 디스크에 흔적을 남기지 않고 공격자 서버와 암호화된 채널을 여는 고도화된 변종도 확인됐습니다. 보안 담당자는 BSC 테스트넷 RPC 엔드포인트 전체를 차단하고 WebRTC 관련 비정상 UDP 트래픽을 모니터링할 것을 권고합니다.
5,400개 이상의 중소기업 웹사이트가 침해되어 BNB Smart Chain(BSC) 스마트 컨트랙트에 저장된 ClickFix 악성 페이로드를 방문자에게 배포하고 있다. 이후 변종은 WebRTC를 이용한 인메모리 코드 실행으로 고도화됐다.
방문자가 가짜 CAPTCHA에 속아 PowerShell 명령을 실행하면 악성코드가 설치된다. WebRTC 변종은 파일을 디스크에 저장하지 않아 탐지가 극히 어렵다. 하루 평균 300개 이상의 감염 사이트가 활동 중이며 8월 기준 최대 536개까지 급증했다.
초기 침해 경로는 불명이나, 침해된 사이트에 삽입된 스크립트가 BSC Testnet 스마트 컨트랙트에서 다음 단계 페이로드를 불러온다. 블록체인 특성상 콘텐츠 삭제·차단이 불가능하며, 공격자가 페이로드를 언제든 교체할 수 있다.
Netskope는 BSC 테스트넷 RPC 엔드포인트 전체를 방화벽에서 차단하고, WebRTC와 연관된 비정상적인 비웹 UDP 트래픽을 모니터링할 것을 권고한다.
자사 웹사이트가 WordPress·PrestaShop 기반이라면 외부 삽입 스크립트 여부를 즉시 점검해야 한다. 엔드유저 대상으로는 브라우저에서 지시하는 Run 대화상자·PowerShell 복붙 행위를 절대 따르지 않도록 교육이 필요하다.
본문
대규모 사이버 범죄 조직이 수천 개의 중소기업 웹사이트를 침해해, BNB Smart Chain(BSC)의 스마트 컨트랙트에 저장된 ClickFix 페이로드를 배포하고 있습니다.
지난 수개월간 연구자들은 5,400개 이상의 해킹된 웹사이트를 확인했으며, 대부분이 WordPress와 PrestaShop으로 구축된 사이트들입니다.
최초 침해 방법은 아직 밝혀지지 않았으나, 각 사이트에는 BSC Testnet 엔드포인트의 스마트 컨트랙트에서 다음 단계 페이로드를 불러오는 스크립트가 삽입되었습니다. 이 기법은 'EtherHiding'으로 알려져 있습니다.
클라우드 보안 플랫폼 Netskope의 연구자들은 BSC Testnet이 개발자를 위해 설계된 환경으로, 실제 운영 블록체인인 메인넷과 유사하게 동작하지만 무료로 이용할 수 있다고 설명합니다.
위협 행위자는 EtherHiding 기법을 활용해 악성 코드 또는 구성 데이터를 블록체인 스마트 컨트랙트에 저장함으로써, 테이크다운(서비스 강제 종료)이 매우 어려운 탄력적인 인프라를 구축합니다.
Netskope가 관찰한 배포 체인에서, 해당 스크립트는 가짜 CAPTCHA를 보여주는 ClickFix 유인 화면을 표시하며 방문자에게 Windows 실행(Run) 대화상자를 열고 PowerShell 명령어를 붙여넣도록 유도합니다.
ClickFix 유인 화면 로딩
출처: Netskope
이 지시를 따르면 최종 페이로드가 해당 기기에 다운로드되어 실행됩니다. 공격자가 페이로드를 스마트 컨트랙트에 저장하기 때문에 언제든지 내용을 수정할 수 있습니다.
연구자들은 캠페인 후반부에 위협 행위자가 스마트 컨트랙트 내 ClickFix 페이로드를 WebRTC 데이터 채널 스테이저(stager)로 교체했다고 밝혔습니다.
새로운 변종에서는 페이로드가 공격자와의 비밀 암호화 채널을 열고 수신된 코드를 실행합니다.
Netskope는 "해당 스크립트는 피어 연결과 데이터 채널을 생성한 뒤, 일반적인 WebRTC 핸드셰이크와 동일하게 세션 기술 오퍼(session description offer)를 생성합니다"라고 설명합니다.
"그러나 해당 오퍼를 어딘가로 전송하고 실제 응답을 기다리는 대신, 스스로 응답을 직접 작성해 연결에 바로 주입합니다. 이를 통해 실제 핸드셰이크 없이도 사이버 공격자와의 데이터 채널이 열리게 됩니다."
출처: Netskope
스테이저는 하드코딩된 C2(명령 및 제어) 주소로부터 JavaScript 코드를 수신해 버퍼에 쌓은 뒤, 채널이 닫히거나 10초가 경과하면 이를 실행합니다.
수신된 코드는 브라우저 메모리 내에서 조합되어 DOM의 head 부분에 추가되는 방식으로 동적으로 실행되며, 디스크에는 저장되지 않습니다.
Netskope는 해당 작전이 하루 300개 이상의 감염된 웹사이트를 활용하고 있다고 경고합니다. 봄 이후 BSC Testnet RPC 엔드포인트에 접속하는 침해 사이트 수는 꾸준히 증가하고 있습니다.
텔레메트리 데이터에 따르면 8월에는 하루 약 400개의 웹사이트가 해당 엔드포인트를 호출했으며, 최고치는 536개에 달했습니다.
보안 연구자들은 방어 담당자에게 여기에 제공된 BSC 테스트넷 RPC 엔드포인트 전체 풀을 차단하고, WebRTC와 관련된 비웹 UDP 트래픽을 모니터링할 것을 권고합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
