공격자들이 'ClickFix'라는 가짜 오류 수정 팝업을 이용해 사용자가 스스로 악성코드를 실행하도록 유도하는 수법이 확산되고 있습니다. 이번에 발견된 'ChainScript'는 Spotify·Zoom·Microsoft Teams로 위장해 설치되는 원격 접속 악성코드(RAT)로, 공격자가 감염된 PC를 완전히 장악할 수 있습니다. 특히 ChainScript는 블록체인 네트워크인 Polygon의 스마트 계약을 통해 명령·제어 서버 주소를 숨기기 때문에 기존 IP 차단 방식으로는 탐지·차단이 매우 어렵습니다. 동시에 HBO Max의 공식 Reddit 계정이 해킹돼 Windows·macOS 사용자를 노리는 정보 탈취 악성코드 광고가 48시간 동안 108개나 게재되었습니다. Windows에서는 Amatera Stealer 및 암호화폐 클리퍼가, macOS에서는 MacSync·AMOS 등 정보 탈취 악성코드가 배포됩니다.
공격자들이 ClickFix 팝업 미끼로 ChainScript RAT를 유포하고, 별도로 HBO Max의 Reddit 공식 계정을 탈취해 악성 광고로 Windows·macOS 정보 탈취 악성코드(MacSync, AMOS, Amatera Stealer 등)를 배포했다.
감염 시 원격 명령 실행(CMD/PowerShell), 파일 조작, 화면 캡처, 암호화폐 지갑 탈취, 추가 페이로드 배포가 가능하며, 검증된 공식 계정을 악용해 일반 사용자의 경계심을 낮춰 피해 범위가 넓다.
사용자가 가짜 설치·오류 수정 UI에 속아 직접 명령을 실행하는 ClickFix 기법에, Polygon 블록체인 스마트 계약을 C2 주소 조회에 사용하는 EtherHiding 방식을 결합해 탐지·차단을 어렵게 만들었다.
Blackpoint APG·Seqrite Labs·Hudson Rock·Cato Networks·Microsoft가 각각 분석 보고서를 공개했으며, 현재까지 공식 패치나 단일 IoC 목록은 제공되지 않아 행위 기반 탐지와 사용자 교육이 핵심 대응책이다.
터미널·PowerShell 붙여넣기를 유도하는 팝업은 즉시 의심해야 하며, 소프트웨어는 공식 스토어·벤더 사이트에서만 설치해야 한다. 블록체인 기반 C2는 IP·도메인 차단을 우회하므로 EDR의 행위 탐지 룰셋 최신화가 필수다.
본문
공격자들이 ClickFix 유형의 미끼를 활용해 기존에 알려지지 않은 원격 접속 트로이목마(RAT) ChainScript를 배포하고 있습니다.
Blackpoint Adversary Pursuit Group(APG)의 연구원 Sam Decker, Andi Ursry, Nevan Beal은 "ChainScript는 ComponentTask33, UpdateDigital, HostShared, OrchidViolet66 등 다양한 빌드 이름으로 등장하며, Spotify·Zoom Workplace·Microsoft Teams 소프트웨어로 위장한다"고 밝혔습니다.
최근 몇 달간 관찰된 많은 악성코드 패밀리와 마찬가지로, ChainScript는 Polygon 스마트 계약을 이용해 활성 WebSocket 인프라를 찾아내는 EtherHiding 방식의 C2(명령·제어 서버) 탐색 기법을 사용합니다. 이로 인해 서버 주소를 기존 방식으로 차단하기가 매우 어렵습니다.
ChainScript는 완전한 기능을 갖춘 RAT로, 운영자에게 광범위한 원격 접근 권한을 제공합니다. 여기에는 인터랙티브 CMD 및 PowerShell, 파일 조작, 스크린샷 캡처, 페이로드 배포, 암호화폐 지갑 열거(데스크톱 앱 및 브라우저 확장 프로그램 모두), 원격 JavaScript 실행 등이 포함됩니다.
공격 체인의 시작점은 ClickFix 미끼로, 이는 "msiexec.exe"를 사용해 악성 Windows 설치 파일을 다운로드·실행하도록 유도합니다. Spotify로 위장한 설치 파일("ComponentTask33-4d14e6ac.msi")은 Node.js 런타임을 배포하고, 숨겨진 PowerShell 및 VBScript 단계를 거쳐 ChainScript JavaScript 에이전트를 실행합니다.
PowerShell 스크립트는 런타임, 에이전트 소스, 설정, 기타 보조 바이너리 등 다양한 구성 요소를 %LOCALAPPDATA% 폴더 내 Microsoft처럼 보이는 여러 경로에 드롭합니다. VBScript는 ChainScript의 메인 실행기 역할을 합니다.
실행된 에이전트는 예약 작업을 통해 사용자 수준의 지속성을 확보하며, Registry Run 키를 대체 수단으로 활용합니다. ChainScript는 실행 후 WebSocket을 통해 C2 서버에 연결하고 추가 명령을 수신하여 공격자가 감염 시스템을 직접 제어할 수 있게 합니다. 지원되는 명령어에는 자가 업데이트 및 지속성 제거 기능도 포함됩니다.
이번 발견은 공격자들이 테이크다운 시도에 저항하고 안정적인 운영을 보장하기 위해 유연한 탈중앙화 인프라를 점점 더 많이 채택하고 있음을 보여줍니다.
Blackpoint은 "ChainScript는 개발 프레임워크와 블록체인 기반 C2 탐색을 결합해 인프라 교체를 가능하게 하고 기존 지표 기반 탐지를 복잡하게 만드는 악성코드의 새로운 패턴을 반영한다"고 밝혔습니다. "Polygon 계약을 외부 리졸버로 사용해 백엔드 탐색을 악성코드 자체와 분리함으로써, 운영자는 동일한 임플란트와 재연결 워크플로우를 유지한 채 감염된 호스트를 새로운 인프라로 리다이렉트할 수 있습니다."
ClickFix: Mac 및 Windows 사용자가 스스로 감염되는 경로
이번 공개는 공격자들이 HBO Max의 공식 Reddit 계정("u/hbomax")을 탈취해 ClickFix 공격을 실행하는 악성 광고를 게재, Windows 및 macOS 기기에 정보 탈취 악성코드를 감염시킨 사건과 맞물려 발생했습니다. 이 활동은 Hudson Rock과 ADAMnetworks에 의해 PasteSwitch라는 코드명으로 명명되었습니다. 계정이 어떻게 침해되었는지, 얼마나 많은 사람이 가짜 광고를 클릭했고 얼마나 많은 피해자가 발생했는지는 아직 확인되지 않았습니다.
macOS에서 PasteSwitch는 MacSync, Atomic macOS Stealer(AMOS), 그리고 복구 문구를 탈취하도록 설계된 가짜 암호화폐 지갑 애플리케이션을 배포하는 것으로 확인됐습니다. Windows 계열에서는 Amatera Stealer와 AnimateClipper, ZigClipper 같은 암호화폐 클리퍼를 배포합니다. 검증된 Reddit 계정은 2026년 9월 중순 48시간 동안 총 108개의 악성 광고를 게재했습니다.
Seqrite Labs가 공유한 데이터에 따르면, MacSync 감염은 미국에 집중되어 있으며 이어 영국, 독일, 일본, 캐나다, 프랑스, 싱가포르, 호주, 인도, 네덜란드 순으로 나타났습니다. 연구원 Chandra Kant Bauri는 "MacSync 캠페인은 주로 macOS 기업 사용이 광범위한 지역, 기술·소프트웨어 개발 분야, 활발한 암호화폐·Web3 커뮤니티를 표적으로 삼는다"고 밝혔습니다.
Hudson Rock은 "공격자들은 악성 페이로드를 전달하기 전에 신뢰를 구축하기 위해 매우 정교하게 다듬어진 자산을 활용했다"고 설명했습니다. "검증된 기업 계정을 탈취함으로써, 많은 사용자가 인터넷 광고에 적용하는 초기 의심을 우회했습니다."
이번 발견은 가짜 Codex 다운로드 경험을 검색 결과를 통해 노출시키고, 사용자를 가짜 Google Sites 페이지로 유도해 macOS 사용자가 Terminal에 악성 명령을 붙여넣도록 속여 Atomic Stealer를 실행시키는 또 다른 ClickFix 캠페인과도 맥을 같이 합니다. Mac이 아닌 기기로 접속하는 방문자에게는 무해한 미끼 페이지가 표시됩니다.
Cato Networks는 "복사된 Terminal 명령은 먼저 셸 스크립트 로더(1단계)를 가져온다"고 밝혔습니다. "이 로더에는 디코딩 후 eval로 실행되는 임베디드 블롭이 포함되어 있어 2단계 셸 스크립트를 생성합니다. 2단계는 실행을 기록하고 최종 3단계 Mach-O 페이로드를 가져옵니다."
이 사이버 보안 회사는 해당 활동을, 신뢰할 수 있는 서비스와 대규모 언어 모델(LLM) 공유 채팅을 이용해 가짜 설치 지침을 제공하는 동시에 브라우저 경고, URL 검사, Safe Browsing 휴리스틱을 우회하는 광범위한 공격 패턴의 일부로 설명했습니다.
Microsoft는 지난달 발표한 보고서에서 250개 이상의 유사 도메인 클러스터를 사용해 MacSync와 Atomic Stealer를 유포하는 macOS ClickFix 캠페인을 관찰했다고 밝혔습니다.
Microsoft는 "이 캠페인은 광범위하게 ClickFix 미끼를 제공하는 방식에서, 정품 macOS 브라우저 환경처럼 보이는 방문자에게만 미끼를 노출하는 서버 측 브라우저 핑거프린팅 게이트를 사용하는 방식으로 진화했다"고 설명했습니다. "이 클로킹 기법은 크롤러, 샌드박스, 일부 자동화 분석 워크플로우의 가시성을 제한합니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
