ClickFix는 사용자가 직접 악성 명령어를 자신의 PC에 붙여넣도록 속이는 사회공학 공격 기법으로, 취약점이나 파일 첨부 없이 기업 네트워크에 침투합니다. Microsoft에 따르면 2025년 기업 침해사고 초기 침투의 47%가 이 기법에 의한 것으로, 일반 피싱을 제치고 1위를 차지했습니다. CTM360은 17,000개 이상의 감염 URL을 분석해, 공격 인프라가 블록체인(Polygon)을 이용해 도메인 차단을 무력화한다는 사실을 밝혔습니다. Windows·macOS·Linux 모두 표적이 될 수 있으며, 결국 정보탈취 악성코드(Vidar Stealer)가 정상 Microsoft 프로세스 내부에서 실행됩니다. 대응책으로는 관리 브라우저에서 클립보드 쓰기 기본 차단, 스크립트 인터프리터의 인증 프록시 경유 강제 적용이 가장 효과적입니다.
ClickFix 공격 기법이 2023년 말 등장해 2026년 현재 기업 침해사고의 최대 초기 침투 수단으로 성장했다. CTM360이 17,000개 이상의 감염 URL과 실제 침해 WordPress 호스트를 분석한 글로벌 위협 보고서를 발표했다.
Microsoft Defender Experts 초기 침투 사례의 47%가 ClickFix에 기인하며, ESET은 2025년 상반기 517% 급증을 측정했다. 최종 페이로드는 Vidar Stealer로, 서명된 Microsoft 바이너리 내부에서 DLL 사이드로딩으로 실행된다.
취약점 없이 사용자가 직접 악성 명령어를 복사·붙여넣기하도록 유도하는 사회공학 기법을 사용한다. 인프라는 Polygon 블록체인(EtherHiding)으로 C2 주소를 분산 관리해 도메인 차단을 원천 무력화한다.
도메인 및 URL 차단은 사실상 무효화됐다. 관리 브라우저에서 클립보드 쓰기 기본 차단, 스크립트 인터프리터와 페치 유틸리티를 인증된 프록시로만 인터넷에 연결하는 정책이 권고된다.
정상적인 웹사이트·오류 메시지·소프트웨어 업데이트는 절대 PowerShell, 터미널, 실행 창에 무언가를 붙여넣도록 요청하지 않는다는 원칙을 전 직원에게 교육하는 것이 핵심이다.
본문
ClickFix는 익스플로잇도, 첨부 파일도, 디스크 위의 파일도 없이 기업 네트워크에 침투하는 가장 일반적인 방법이 됐습니다. CTM360의 새로운 글로벌 위협 보고서는 이 기법이 2023년 말 새로운 시도로 등장해 온체인 인프라와 국가 지원 사용자 기반을 갖춘 구독형 서비스로 진화하는 과정을 추적하고, 악성 도메인 차단이 왜 더 이상 유효한 방어 수단이 될 수 없는지를 설명합니다.
어떤 패치로도 막을 수 없는 특정 종류의 보안 문제가 있습니다. ClickFix가 바로 그것입니다.
공격은 사용자가 자신이 해결해야 할 문제라고 믿게 만드는 페이지에서 시작됩니다. 완료되지 않는 사람 인증 확인, 페이지를 렌더링하지 못하는 브라우저, 열리지 않는 문서, 저장 공간이 부족한 Mac. 페이지는 해결책을 지시 사항 형태로 제시하고 "수정 방법"을 조용히 클립보드에 기록한 뒤, 사용자에게 이미 신뢰하는 시스템 인터페이스를 열고 붙여넣기한 다음 Enter를 누르도록 안내합니다.
이것이 기법의 전부입니다. 스캐너가 찾을 취약점도, 이메일 게이트웨이가 분석할 첨부 파일도, 브라우저의 평판 검사가 점수를 매길 다운로드도 없습니다. 명령어는 인증된 대화형 사용자가 네이티브하고 서명됐으며 어디서나 존재하는 바이너리에 직접 붙여넣으며, 이는 정당한 관리 작업과 정확히 동일한 프로필입니다.
이 기법은 이제 기업 침해사고 텔레메트리에서 선도적인 초기 침투 기법이 됐습니다. Microsoft는 2025년 Defender Experts 팀이 처리한 초기 침투 사례의 47%를 ClickFix에 귀인했으며, 이는 기존 피싱을 앞서는 수치입니다. ESET은 2025년 상반기까지 517% 증가를 측정했고, 2025년 하반기에서 2026년 상반기 사이에 추가로 108% 증가했습니다. MITRE는 2025년 3월 이 행위에 고유 하위 기법인 T1204.004, 사용자 실행: 악성 복사-붙여넣기를 부여하고 Windows, macOS, Linux를 영향받는 플랫폼으로 등재했습니다.
CTM360의 보고서는 두 개의 독립적인 1차 분석과 오픈소스 연구를 통합합니다: 캠페인 수준 분석은 가짜 Cloudflare 인증 페이지를 제공하는 17,000개 이상의 감염 URL을 다루며, 그 중 약 3,000개는 작성 시점에도 미끼를 활성 제공 중이었습니다. 호스트 수준 분석은 일반 방문자에게 반환되는 응답만으로 전체를 분석한 단일 침해 WordPress 사이트를 다룹니다. 두 분석을 함께 읽으면 삽입된 페이지부터 서명된 Microsoft 프로세스 내부에서 실행되는 정보 탈취 악성코드까지의 전체 경로를 파악할 수 있습니다.
방어자에게 가장 중요한 세 가지 발견이 있습니다.
인프라는 테이크다운에서 살아남도록 설계됐다
침해된 웹사이트에 삽입된 스크립트에는 공격자 도메인이 전혀 포함되어 있지 않습니다.
대신 방문자가 페이지를 로드하면 그들의 브라우저가 Polygon 블록체인의 스마트 컨트랙트에 무료로 읽기 전용 호출을 수행합니다. 컨트랙트는 현재 미끼 호스트네임으로 디코딩되는 인코딩된 문자열을 반환합니다. 지갑도, 트랜잭션도, 비용도 없습니다. 이 기법은 EtherHiding으로 알려져 있습니다.
하루 분석 동안 해당 컨트랙트는 연속으로 세 개의 서로 다른 미끼 호스트를 반환했으며, 침해된 웹사이트 중 단 하나도 수정되지 않았습니다. 공격자는 하나의 온체인 값을 수정하면 모든 감염 사이트가 수초 내에 따라옵니다. 신고할 레지스트라도, 통보할 호스팅 업체도 없으며, 값을 읽는 데 사용되는 RPC 공급자는 실제 애플리케이션이 의존하는 정당한 공유 서비스입니다.
동일한 아키텍처 개념은 체인 더 아래쪽에서도 다시 나타납니다. Telegram 채널 설명과 Steam 프로필 페이지가 악성코드의 명령 및 제어 주소를 해석합니다. 두 개의 다른 단계에서 두 개의 독립적인 해석 메커니즘이 존재하는 것은 설계 결정이지 우연이 아닙니다: 이 키트는 단일 테이크다운으로는 무력화되지 않도록 설계됐습니다.
실용적인 결론은 불편하지만 명확합니다. 미끼 도메인 차단은 방어 수단으로서 거의 무가치합니다. 도메인은 어떤 차단 목록도 게시될 수 있는 속도보다 빠르게 교체됩니다.
표적 선정은 서버 측에서, 방문자별로, 분석을 의도적으로 방해하는 방식으로 이뤄진다
미끼 페이지는 방문자의 운영체제와 버전을 공격자에게 보고하며, 공격자는 어떤 플랫폼을 공격할지, 각 플랫폼에 어떤 랜딩 페이지를 제공할지를 지정한 설정으로 응답합니다.
분석한 샘플에서는 Windows가 활성화되어 있었습니다. macOS와 Linux 랜딩 페이지는 빌드되어 예비로 보관되어 있었습니다. 모바일은 완전히 억제됐으며, 쿠키를 통해 재방문자에게는 90일 동안 오버레이가 표시되지 않았습니다.
이 설정은 생각해볼 가치가 있습니다. ClickFix가 Windows만의 문제라는 널리 퍼진 믿음은 현재 설정에 대한 설명이지 기능에 대한 설명이 아니며, 단일 서버 측 플래그로 변경될 수 있습니다. macOS 분기는 완전히 구성되고 기능적인 상태였습니다. macOS 미끼는 Apple 지원 문서 형식으로 구성된 디스크 공간 "유지보수" 구실을 포함해 자체적인 구실을 갖춘 성숙한 병렬 제품 라인입니다. Linux 슬롯은 존재했지만 비어 있었습니다.
이 모든 것의 기반에는 운영자를 약 1.5초마다 폴링하고 악성 지시 사항을 표시하지 않고도 세션을 "인증됨"으로 자동 표시할 수 있는 트래픽 분산 시스템이 작동하고 있습니다. 연구자, 샌드박스, 크롤러는 깨끗한 페이지를 받습니다. 의도된 표적은 미끼를 받습니다.
페이로드는 머신 신원에 따라 제공된다
세 번째 발견은 팀들이 자신의 도구를 해석하는 방식을 바꿔야 하는 것입니다.
라이브 호스트에서 복구된 드로퍼에서는 하드웨어 및 계정 지문(머신 GUID, 볼륨 시리얼, 컴퓨터 이름, BIOS 제조사, 시스템 모델, GPU, 사용자명)이 다운로드 경로에 직접 base64 인코딩됩니다. 따라서 명령 및 제어 서버는 무언가를 제공하기 전에 피해자의 신원을 알 수 있으며, 머신별로 선택된 페이로드를 반환하거나 아무것도 반환하지 않을 수 있습니다.
샌드박스는 단순히 탐지되고 회피되는 것이 아닙니다. 실제 피해자가 받는 페이로드가 아닌 머신 특정 콘텐츠가 제공됩니다. 이 체인에 대한 폭발 기반 판정은 구조적으로 신뢰할 수 없으며, 샌드박스에서 페이로드가 없다고 해서 사이트가 깨끗하다는 증거가 되지 않습니다.
공격자 인프라를 인식하는 것에 의존하는 통제는 몇 시간 내에 효력을 잃습니다. 대화형 사용자가 실행할 수 있는 것을 제한하는 통제는 우리가 확인한 모든 변종과 아직 명명되지 않은 것들에서도 가치를 유지합니다.
두 샘플이 함께 말하는 것
두 분석은 독립적으로, 서로 다른 호스트에서, 서로 다른 방법으로 수행됐습니다. 하나는 페이로드가 지문 게이팅됐기 때문에 드로퍼에서 멈춥니다. 다른 하나는 세 개의 Telegram 데드드롭 리졸버와 두 계층의 AES 복호화를 거쳐 체인의 끝까지 따라가, DLL 사이드로딩을 통해 정당하게 서명된 Microsoft 바이너리 내부에서 실행되는 Vidar Stealer에 도달합니다.
두 분석은 동일한 트래픽 분산 API 형태를 복구했으며, 이는 수렴적 설계가 아닌 공유 키트를 가리킵니다. 오픈소스 연구가 이를 마무리합니다: Sekoia의 2026년 6월 ErrTraffic 프레임워크 분석은 CTM360이 관찰한 정확한 Polygon 컨트랙트를 Vidar만을 독점 배포하는 운영자 클러스터에 속하는 것으로 식별합니다. 한 샘플이 가져오지 못한 페이로드가 바로 해당 컨트랙트를 운영하는 클러스터가 배포하는 것으로 문서화된 페이로드입니다.
이 상관관계를 중간 수준의 신뢰도로 평가합니다. 프레임워크는 월 약 $380에 여러 제휴사에 판매되며, 클러스터 경계는 변동합니다.
WordPress가 계속 등장하는 이유
WordPress는 이 모든 것에서 부수적인 것이 아닙니다. 실제 도메인, 유효한 인증서, 진짜 인바운드 트래픽, 그리고 대부분의 경우 아무도 모니터링하지 않는다는 점에서, 전달 사업이 구축된 기반입니다. 다른 어디에서도 이처럼 저렴하게 평판을 구입할 수 없습니다.
보고서는 감염된 사이트를 정리하는 모든 사람에게 중요한 발견을 포함합니다. CTM360이 분석한 호스트에서 로더는 페이지, 게시물, 테마 파일에 삽입된 것이 아니었습니다. 서버가 생성하는 모든 동적 응답에 PHP에 의해 추가되어 있었으며 HTML, RSS, JSON 전반에 걸쳐 바이트 단위로 동일했습니다. 이는 모든 요청에서 로드되며 플러그인 목록에 절대 나타나지 않는 must-use 플러그인을 가리킵니다. 그 옆에는 스크립트로 생성된 약 24개의 백도어 관리자 계정이 있었습니다.
눈에 보이는 스크립트를 삭제하고, 스팸 페이지를 제거하고, 명백한 불량 계정 하나를 삭제하는 것이 가장 일반적인 대응이지만, 이것으로는 아무것도 해결되지 않습니다.
실제로 효과적인 것
보고서는 모든 플랫폼에서 모든 캠페인이 통과하는 네 가지 차단 지점을 중심으로 대응책을 정리합니다: 페이지가 클립보드에 쓸 수 있어야 하고, 사용자가 인터프리터를 열 수 있어야 하며, 해당 인터프리터가 인터넷에 접근할 수 있어야 하고, 무언가가 지속되어 수집하고 탈취해야 합니다.
두 가지 통제 수단이 그 가치에 비해 크게 활용되지 않고 있습니다. 관리 브라우저에서 기본적으로 클립보드 쓰기를 차단하면 준비 단계에서 이 기법 전체를 막을 수 있습니다. 페이지는 여전히 지시 사항을 표시할 수 있지만, 난독화된 한 줄짜리 명령을 손으로 다시 입력하도록 요청받은 사용자는 보통 멈추게 됩니다. 스크립트 인터프리터와 페치 유틸리티를 인증된 프록시를 통해 강제 라우팅하면 단일 지표에 의존하지 않고도 Windows, macOS, Linux 모두에서 보고서의 모든 단계적 체인을 첫 번째 홉에서 차단합니다.
사용자를 위해, 아트워크가 바뀌어도 효력을 잃지 않는 하나의 규칙이 대부분의 가치를 담고 있습니다:
정상적인 웹사이트, 인증 확인, 오류 메시지, 화상 통화, 소프트웨어 업데이트는 절대로 실행 상자, PowerShell, 터미널, 명령 프롬프트, 파일 탐색기 주소 표시줄에 무언가를 복사해 붙여넣도록 요청하지 않습니다.
페이지가 그것을 요청한다면, 그 페이지 자체가 공격입니다.
전체 보고서는 2023년부터 2026년까지의 기법 진화, FileFix와 CrashFix를 포함한 변종 계열, Windows와 macOS 전반에 걸친 관찰된 미끼 템플릿 분류, WordPress 전달 계층, 두 샘플 분석 전문, MITRE ATT&CK 매핑, 예상 수명별로 그룹화된 침해 지표, Windows, macOS, Linux에 대한 플랫폼별 대응 방안을 다룹니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
