해커들이 우크라이나의 정상적인 기업 웹사이트를 침해해, 가짜 Cloudflare 인증 화면을 삽입하는 'ClickFix' 공격 캠페인이 활발히 진행 중입니다. 피해자가 해당 페이지를 방문하면 악성 명령어가 클립보드에 자동 복사되고, 이를 Windows 실행창에 붙여넣도록 유도해 'Psychedelic Stealer'라는 신종 정보 탈취 악성코드가 설치됩니다. 이 악성코드는 Chrome·Edge 등 브라우저 비밀번호, 계정 토큰, MetaMask 등 암호화폐 지갑 데이터를 훔치고, 지속 실행을 위해 예약 작업(Scheduled Task)까지 등록합니다. 별도로, 같은 ClickFix 방식으로 유포되는 'RemotePanel'과 'BoundSiphon'이라는 .NET 기반 악성코드도 발견됐는데, RemotePanel은 Windows 서비스로 위장해 원격 제어 권한을 유지하고 BoundSiphon은 메모리에서 직접 실행되며 자격증명과 암호화폐 지갑을 탈취합니다. 두 캠페인 모두 러시아어 흔적이 발견됐으며, 주요 표적은 우크라이나 사용자로 분석됩니다.
해커들이 우크라이나 기업 웹사이트를 침해해 가짜 Cloudflare 인증 페이지를 삽입하는 ClickFix 캠페인을 운영하며, Psychedelic Stealer·RemotePanel·BoundSiphon 등 신종 악성코드를 배포하고 있다.
브라우저 저장 비밀번호·세션 토큰·암호화폐 지갑 데이터 탈취, 감염 시스템에 대한 지속적 원격 제어 권한 확보, 추가 악성코드 배포 경로 확보. 분석 시점까지 32개국 557건 방문·79건 완료 이벤트 기록.
정상 웹사이트에 악성 iframe·JavaScript를 삽입하여 피해자를 속이는 ClickFix 기법 사용. UAC(사용자 계정 컨트롤) 우회, Windows Defender 예외 설정, 블록체인 기반 C2 주소 변경 등 탐지 회피 기술이 복합 적용됨.
Arctic Wolf Labs 및 Blackpoint Cyber가 각각 기술 보고서를 통해 IoC(침해지표)를 공개. 관련 도메인 및 IP 차단 필요.
ClickFix 공격은 '웹페이지 → 클립보드 복사 → 직접 실행' 흐름을 악용하므로, 사용자 보안 교육이 핵심 방어책이다. Windows Run 또는 PowerShell에 웹사이트에서 안내하는 명령어를 붙여넣지 않도록 임직원에게 명시적으로 교육해야 하며, 공개된 악성 도메인(fsputnik[.]com, uasputnik[.]com)과 IP(107.175.82[.]242, 193.178.159[.]128)는 즉시 차단해야 한다.
본문
우크라이나의 정상적인 기업 웹사이트를 침해해 가짜 Cloudflare 인증 페이지를 삽입하고, 피해자를 속여 기존에 문서화된 바 없는 정보 탈취 악성코드 Psychedelic을 다운로드하게 만드는 활성 ClickFix 캠페인이 포착됐다.
Arctic Wolf Labs는 The Hacker News와 공유한 기술 보고서에서 "방문자가 해당 페이지와 상호작용하면, 미끼 페이지가 Windows Installer 명령어를 클립보드에 복사하고 방문자에게 Windows 실행 대화상자에 붙여넣도록 안내한다"고 밝혔다.
ClickFix 체인은 "msiexec.exe" 명령어를 사용해 스틸러 악성코드를 배포하는 Windows MSI 설치 파일을 가져온다. 이 악성 도구는 브라우저 비밀번호·계정 토큰·암호화폐 지갑 데이터를 수집하고, 예약 작업(Scheduled Task)으로 지속성을 설정하며, 추가 명령 수행을 위해 C2(명령·제어) 서버에 접속하도록 설계됐다.
침해된 웹사이트에는 헤어 트리트먼트 클리닉, 모형 제조업체, 전문 서적 판매·출판사, 심리 치료 시설, 공구 소매점, 자동차 소매점 등이 포함된다. 이 사이트들에는 공격자가 제어하는 JavaScript("fsputnik[.]com/tds/tracker[.]js")를 실행하는 악성 iframe 요소가 삽입돼 있다.
ClickFix 명령어는 2026년 9월 9일 등록된 도메인 "uasputnik[.]com"에 호스팅된 MSI 설치 파일("elita.msi")을 가져온다. 확인된 다른 MSI 페이로드로는 "miks.msi", "astra.msi", "harbor.msi", "neon.msi", "sova.msi", "vyse.msi" 등이 있다.
Arctic Wolf는 "공격자가 제어하는 페이지는 Cloudflare 인증 화면을 모방하고 우크라이나어 안내문을 제시한다"며 "클립보드 복사 동작은 미끼 페이지가 Windows 실행 안내문을 표시하기 전에 발생한다. 3초간 스피너가 돌아간 후 안내 대화상자가 나타나며, '완료' 버튼은 약 35초 동안 비활성 상태로 유지된다"고 설명했다.
"이 지연은 미끼 인터페이스의 진행 흐름을 제어하는 것으로, 방문자가 실제로 Windows 실행창을 열었는지, 명령어를 붙여넣었는지, 또는 페이로드를 설치했는지는 검증하지 않는다."
MSI 설치 파일은 URL "107.175.82[.]242:9000"에서 다음 단계 페이로드("psychedeliclove.exe")를 가져오는 역할을 한다. 64비트 Windows 실행 파일인 Psychedelic Stealer는 다음 기능을 수행한다 —
- Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi, Yandex 등 Chromium 기반 브라우저에서 자격증명을 수집해 "/api/v1/ext/passwords" 엔드포인트로 유출
- 브라우저 연결 계정 토큰을 수집해 "/api/v1/ext/tokens" 엔드포인트로 유출
- MetaMask, Trust Wallet, OKX Wallet, SafePal 등 암호화폐 지갑 브라우저 확장 프로그램과 Exodus, Atomic Wallet, Electrum, Bitcoin Core, Litecoin Core 등 데스크톱 앱을 스캔하고 "/api/v1/ext/wallets" 엔드포인트로 데이터 유출
- 광범위한 호스트 정보를 수집해 "/api/v1/checkin" 엔드포인트로 유출
- 선택한 브라우저 프로세스를 종료하고, 내장된 확장 프로그램 아카이브를 웹 브라우저 프로필에 추출하며, 네이티브 메시징 브릿지를 설정
Arctic Wolf는 "이러한 구성 요소들은 작전 범위를 일회성 데이터 수집 이상으로 확장한다"며 "브라우저 프로필 수정과 네이티브 메시징은 배포된 브라우저 콘텐츠가 로컬 호스트 구성 요소와 통신할 수 있는 메커니즘을 제공한다"고 밝혔다.
"반복 실행되는 백그라운드 루틴이 C2 서버에 작업을 요청하기 전에 확장 프로그램 관련 작업을 재방문하며, 이는 브라우저 구성 요소 처리가 최초 설치에 국한되지 않고 임플란트의 지속적 실행 주기에 통합돼 있음을 나타낸다."
Psychedelic Stealer는 "/api/v1/agent/tasks?hwid=%s" 엔드포인트를 통해 추가 작업을 가져오는 기능도 갖추고 있으며, 여기서 "hwid"는 피해자 고유 식별자를 뜻한다. 이를 통해 악성코드는 EXE, COM, BAT, CMD, MSI, PowerShell 페이로드를 실행할 수 있어 운영자가 추가 악성코드를 투입할 수 있는 경로를 제공한다.
Arctic Wolf는 "uasputnik[.]com" 도메인에서 캠페인과 연결된 미끼 관리 패널 **РУБЛЁВКА TDS(Rublevka TDS)**가 노출된 것을 확인했다. 임플란트의 C2("193.178.159[.]128:8080")와 별개인 이 패널은 웹 미끼 명령어 설정과 상호작용 기록에 사용된다.
"대시보드는 2초마다 방문자 기록을 폴링해 미끼 인터페이스의 진행 상황을 거의 실시간으로 파악할 수 있지만, 엔드포인트 실행 여부는 확인하지 않는다"고 덧붙였다.
분석 시점 기준 패널에는 32개국에 걸쳐 557건 조회, 426건 클릭, 79건 완료 이벤트가 기록됐으며, 우크라이나가 446건 조회, 351건 클릭, 71건 완료로 가장 많았다. 기타 표적 국가로는 미국, 폴란드, 독일, 캐나다, 네덜란드 등이 포함된다.
해당 사이버보안 기업은 "러시아어 브랜딩과 구현 아티팩트는 러시아 운영자일 가능성을 시사하며, 의도한 표적도 명확하다. 우크라이나어 안내문, 침해된 우크라이나 기업 웹사이트, 그리고 패널에 기록된 조회 수가 우크라이나에 집중된 점은 캠페인이 우크라이나 사용자를 주요 표적으로 삼았다는 평가를 뒷받침한다"고 결론지었다.
ClickFix, RemotePanel과 BoundSiphon 배포
이와 함께 Blackpoint Cyber는 ClickFix 체인을 통해 함께 배포되는 두 가지 미문서화 .NET 악성코드 구성 요소를 발견했다고 밝혔다. RemotePanel은 지속적 원격 접근 플랫폼이며, BoundSiphon은 Chromium과 Firefox 브라우저를 모두 표적으로 삼는 .NET 기반 자격증명·암호화폐 탈취 악성코드다.
연구원 Nevan Beal, Sam Decker, Andi Ursry는 "RemotePanel은 Windows Time 서비스로 위장해 지속성을 확보하며, PowerShell·파일 및 프로세스 관리·화면 접근·모듈형 HVNC(숨겨진 가상 네트워크 컴퓨팅)·플릿 관리 등 광범위한 시스템 제어권을 운영자에게 제공한다"고 설명했다.
"BoundSiphon은 주로 메모리에서 실행되며, 브라우저 자격증명 및 세션, 암호화폐 지갑, 패스워드 매니저 데이터, Chromium App-Bound Encryption으로 보호되는 비밀 정보를 포함한 특정 문서를 표적으로 삼는다."
RemotePanel은 BNB 스마트 체인 컨트랙트를 활용해 C2 서버 주소를 동적으로 확인함으로써, 위협 행위자가 감염된 호스트에서 악성코드를 다시 빌드하거나 재배포하지 않고도 인프라를 교체할 수 있다. 한편 BoundSiphon은 2026년 5월 악성 NuGet 패키지 5개를 통해 유포된 것으로 신고된 스틸러와 겹치는 부분이 있는 것으로 평가됐다.
공격은 PowerShell을 사용해 다단계 체인을 시작하는 ClickFix 명령어로 시작된다. 중간 구성 요소 중 하나는 CMSTPLUA COM 개체를 악용해 UAC(사용자 계정 컨트롤)를 우회하고, 사용자에게 프롬프트 없이 상승된 관리자 권한을 획득해 권한 높은 숨겨진 PowerShell 프로세스를 실행한다.
이후 프로세스는 광범위한 Microsoft Defender 예외를 구성하고, 서로 다른 방법으로 두 가지 추가 페이로드를 가져와 실행한다 —
- RemotePanel: 디스크에 기록되어 서비스로 설치되며, 대화형 PowerShell 세션·파일 및 프로세스 관리·화면 스트리밍·모듈형 hVNC(숨겨진 가상 네트워크 컴퓨팅)를 통한 지속적 원격 접근 및 운영자 제어에 사용됨
- BoundSiphon: PowerShell을 통해 메모리에 직접 로드되며, 자격증명·세션·지갑·문서 수집에 사용됨
이 캠페인은 아직 알려진 위협 행위자나 그룹에 귀속되지 않았으나, Blackpoint는 러시아어권 개발 환경을 시사하는 아티팩트를 발견했다고 밝혔다. 여기에는 러시아어 키보드 레이아웃이 설정된 시스템에서 실행되지 않도록 하는 소스 코드 검사가 포함된다.
"RemotePanel과 BoundSiphon은 지속적 접근과 데이터 탈취를 분리하는 모듈형 악성코드 생태계로의 광범위한 전환을 반영한다. 이를 통해 운영자는 작전을 계속 수행하는 데 필요한 기본 역량은 유지하면서 인프라와 개별 구성 요소를 교체할 수 있다"고 Blackpoint는 밝혔다.
"RemotePanel은 임플란트를 재빌드하지 않고도 운영자가 제어하는 BNB 스마트 체인 리졸버를 통해 백엔드를 이전할 수 있으며, BoundSiphon은 App Bound Encryption 복구를 정상적인 Chromium 프로세스 내부로 옮겨 최신 브라우저 비밀 정보에 접근한다."
