마이크로소프트가 'TerminalFix'라는 새로운 사이버 공격 기법을 공개했습니다. 이 공격은 해킹된 웹사이트에서 Cloudflare 본인확인(CAPTCHA) 화면을 가짜로 띄워 사용자가 악성 명령어를 직접 실행하도록 속이는 방식입니다. 피해자가 명령어를 실행하면 악성 프로그램이 설치되어 공격자가 회사 내부 네트워크에 몰래 접근할 수 있는 '역방향 터널(reverse tunnel, 피해자 PC를 통해 내부망에 원격 접속하는 통로)'이 만들어집니다. 이 통로를 통해 공격자는 내부 시스템 정보를 수집하고, 추가 권한을 탈취하거나 랜섬웨어를 배포할 수 있습니다. PowerShell 실행 제한, 직원 보안 교육, 로그 모니터링 등의 대응이 권고됩니다.
마이크로소프트가 ClickFix 변종인 TerminalFix 캠페인을 공개했다. 공격자는 침해된 웹사이트에서 가짜 Cloudflare CAPTCHA를 표시해 사용자가 Windows Terminal 또는 PowerShell에서 악성 명령어를 실행하도록 유도한다.
감염된 PC에 역방향 터널 백도어가 설치되어 공격자가 조직 내부 네트워크에 지속적으로 접근할 수 있게 된다. 권한 상승, 보안 솔루션 무력화, 데이터 유출, 랜섬웨어 배포로 이어질 수 있다.
DLL 사이드로딩, 스테가노그래피(PNG 이미지 속에 악성 코드를 숨기는 기법) 페이로드 추출, Active Directory 정찰, Python 기반 역방향 터널 C2 임플란트 등 다단계 공격 체인이 복합적으로 사용된다.
AppLocker·Application Control·그룹 정책으로 일반 사용자의 PowerShell 및 실행 대화상자(Win+R) 사용을 제한하고, DLL 사이드로딩 지표를 모니터링하며, PowerShell 스크립트 블록 로깅을 활성화할 것을 권고한다. 직원 대상 ClickFix 공격 인식 교육도 병행해야 한다.
표준 사용자 계정에서 PowerShell 실행을 차단하는 것이 가장 직접적인 대응책이다. 웹 브라우저에서 CAPTCHA 통과를 위해 명령어를 복사·실행하도록 요구하는 페이지는 100% 공격 시도임을 직원들에게 주지시켜야 한다.
본문
Ravie Lakshmanan · 2026년 8월 30일 · 소셜 엔지니어링 / 악성코드
마이크로소프트가 TerminalFix로 명명된 새로운 ClickFix 변종의 세부 내용을 공개했다. 이 공격은 사용자를 속여 Windows Terminal 또는 PowerShell에서 악성 명령어를 실행하게 만드는 것을 목표로 한다.
"기존 ClickFix 캠페인이 피해자를 Windows 실행 대화상자로 유도했다면, TerminalFix 캠페인은 동일한 기법을 적용하되 사용자를 Windows Terminal 또는 PowerShell로 안내한다. 이를 통해 복잡한 다중 행 스크립트가 성공적으로 실행될 가능성이 높아진다." — 마이크로소프트 보안 연구원 Sagar Patil, Suriyaraj Natarajan, Parasharan Raghavan이 이번 주 발표한 분석 보고서에서 밝혔다.
여러 산업 분야의 조직을 표적으로 삼는 이 캠페인은 침해된 웹사이트를 시작점으로 활용해 가짜 Cloudflare CAPTCHA 인증 화면을 제공한다. 방문자는 이 화면에서 악성 PowerShell 명령어를 복사해 실행하도록 유도된다.
마이크로소프트에 따르면, 이 공격 체인은 DLL 사이드로딩(정상 실행 파일이 악성 DLL을 로드하도록 유도하는 기법), 스테가노그래피(이미지 속에 데이터를 숨기는 기법) 페이로드 추출, 광범위한 Active Directory 정찰, 그리고 감염된 PC를 통해 공격자에게 지속적인 네트워크 수준의 프록시 접근을 제공하는 맞춤형 역방향 터널 임플란트를 복합적으로 활용하는 정교한 다단계 프로세스다.
구체적으로, PowerShell 명령어는 정상 바이너리("LockScreenContentServer.exe")와 악성 DLL("dui70.dll")이 포함된 ZIP 압축 파일을 다운로드해 DLL 사이드로딩 공격을 시작하도록 설계되어 있다.
사이드로딩된 DLL은 외부 도메인("bestsocialmedianewspapper[.]com" 또는 "offlineupdater[.]com")의 PNG 이미지 속에 숨겨진 다음 단계 페이로드를 가져오는 역할을 한다. 또한 레지스트리 Run 키와 예약된 작업을 통해 지속성을 확보하고, 도메인 정찰을 수행한 뒤 Python 기반의 역방향 터널 C2(명령·제어) 임플란트를 배포한다.
백도어("client.py")는 암호화된 WebSocket 채널을 통해 공격자 제어 인프라("gitnow[.]dev:443")로 임의의 TCP 트래픽을 터널링하고, C2 서버가 피해자 네트워크에서 보이는 모든 호스트에 접근할 수 있도록 설계되어 있다.
정찰 단계는 다음 절차로 구성된다 -
- 시스템 메타데이터 수집
- 도메인 트러스트 탐색, 도메인 관리자 열거, Active Directory 사용자 및 컴퓨터 검색 수행
- 명명된 서버에 핑(ping)을 보내 내부 네트워크 토폴로지 매핑
또한 이 공격은 텍스트 파일에서 새 명령어를 감시하고, Invoke-Expression을 통해 실행한 뒤 결과를 출력 파일에 기록하는 지속적인 PowerShell 파일 감시 루프도 함께 설치한다.
"이러한 유형의 침해는 역방향 터널을 통해 공격자에게 조직 내부 네트워크에 대한 직접적인 접근권을 제공하기 때문에 특히 위험하다. 관측된 정찰 및 역방향 터널 기능은 공격자가 침해된 호스트에서 추가 시스템을 식별하고 접근할 수 있게 해줄 수 있다." — 마이크로소프트.
마이크로소프트는 이 접근 권한이 권한 상승, 보안 솔루션 무력화, 민감 데이터 유출, 랜섬웨어 배포에 추가로 악용될 수 있다고 경고하며, TerminalFix를 기업 환경에 대한 심각한 위협으로 규정했다.
위협 완화를 위해 다음 조치가 권고된다: AppLocker, Application Control for Windows, 또는 그룹 정책을 통해 일반 사용자의 PowerShell 및 실행 대화상자 실행 제한; 불필요한 경우 Windows 실행 대화상자("Win+R") 차단 또는 감사 설정 고려; DLL 사이드로딩 지표 모니터링; ClickFix 공격에 대한 직원 교육; 그리고 난독화되거나 인코딩된 명령어를 탐지·분석하기 위한 PowerShell 스크립트 블록 로깅 활성화.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
