ClickFix의 또 다른 진화, TerminalFix 공격 주의

 

 

 

사용자가 스스로 악성 명령을 실행하도록 유도하는 ClickFix 계열 공격이 계속해서 형태를 바꾸며 확산되고 있습니다.

ClickFix 공격에 대한 내용은 지난 포스팅 내용을 참고하시기 바랍니다. 

 

ClickFix 변종, FileFix 공격 주의!

가짜 캡차 인증 페이지를 이용해 악성코드 실행을 유도하는 공격 주의!

 

앞서 소개해드린 FileFix 공격이 윈도우 탐색기 주소창을 악용했다면, 이번에 확인된 TerminalFix 공격은 사용자에게 윈도우 터미널(Windows Terminal)이나 파워쉘(PowerShell)을 직접 열도록 유도한다는 점에서 차이가 있습니다.

 

마이크로소프트(Microsoft) 위협 인텔리전스 팀은 지난 8월 28일, 여러 산업군의 조직을 대상으로 진행 중인 TerminalFix 캠페인을 공개했습니다. 정보탈취 등 비교적 단순한 페이로드 유포에 그쳤던 경우가 많았던 것과 달리, 이번 캠페인은 DLL 사이드로딩 → 스테가노그래피 페이로드 → 지속성 확보 → 도메인 정찰 → 리버스 터널 구축으로 이어지는 다단계 침투를 수행해 더욱 주의가 필요합니다.

 

구분	실행 경로	특징
ClickFix	윈도우 실행 창 (Win + R)	가짜 캡차·오류 안내로 명령 붙여넣기 유도
FileFix	윈도우 탐색기 주소창 (Ctrl + L)	파일 경로처럼 위장, 주석(#)으로 명령어 은닉
TerminalFix	윈도우 터미널 / 파워쉘	여러 줄로 구성된 복잡한 스크립트도 정상 실행 가능

[표 1] 공격 별 특징 

 

TerminalFix 공격이 터미널을 선택한 이유는 명확합니다. 실행 창이나 탐색기 주소창은 입력 길이와 형식에 제약이 있어 긴 스크립트를 넣기 어렵지만, 터미널에서는 여러 줄짜리 복합 스크립트도 그대로 동작하기 때문입니다. 공격자 입장에서는 훨씬 정교한 초기 침투 코드를 한 번에 실행시킬 수 있습니다.

 

이번에 발견된 공격은 정상 웹사이트를 미리 침해해 두고, 방문자에게 클라우드플레어 Turnstile 인증 화면을 흉내 낸 오버레이를 띄웁니다. 로고, "Verify you are human" 체크박스, 로딩 애니메이션까지 실제와 유사해 의심하기 어렵습니다.

 

[그림 1] 가짜 Cloudflare Turnstile 인증 사이트 (이미지 출처: 마이크로소프트 위협 인텔리전스)

 

사용자가 인증 화면을 클릭하는 순간, 악성 파워쉘 명령이 사용자 몰래 클립보드에 복사됩니다.

 

이어서 화면에는 "터미널 또는 파워쉘을 열고 붙여넣기 하세요"라는 안내가 단계별로 표시됩니다. 사용자는 인증 절차의 일부라고 믿고 그대로 따라 하게 됩니다.

 

[그림 2] ClickFix 미끼에 의해 사용자의 클립보드에 복사된 PowerShell 명령 (이미지 출처: 마이크로소프트 위협 인텔리전스)

 

붙여넣기와 동시에 감염이 시작됩니다. 화면에는 가짜 인증 진행 메시지가 출력되고, 사용자는 아무 이상을 느끼지 못한 채 창을 닫습니다.

 

[그림 3] PowerShell 명령 실행 시 보이는 화면

 

이후 정상 서명된 윈도우 실행 파일에 악성 DLL을 끼워 넣는 DLL 사이드로딩, PNG 이미지 픽셀 안에 실행 파일을 숨겨 전송하는 스테가노그래피, 레지스트리와 예약 작업을 이용한 이중 지속성 확보, 도메인 관리자 계정과 주요 서버를 파악하는 내부 정찰을 거쳐, 최종적으로 443 포트 TLS 웹소켓 기반 리버스 터널을 구축합니다.

이렇게 확보된 리버스 터널을 통해 공격자는 내부망 자산 접근, 권한 상승, 자격 증명 탈취, 데이터 유출 등의 악성행위를 수행할 수 있습니다.

 

ClickFix에서 FileFix, 그리고 TerminalFix로 이어지는 흐름은 공격자들이 취약점보다 사용자의 습관과 신뢰를 노리고 있다는 사실을 잘 보여줍니다. 아무리 좋은 보안 솔루션도 사용자가 직접 실행한 명령까지 막기는 어렵기 때문입니다.

 

ESRC에서는 이러한 형태의 공격이 아직까지 국내에서 발견된 사례는 확인되지 않았으나, 추후 유사한 형태로 유입될 가능성이 높아 지속적인 모니터링을 진행하고 있습니다.

 

이처럼 붙여넣기 경로만 바꾼 또 다른 변종은 앞으로도 계속 등장할 것입니다. 그러나 "웹사이트가 명령어를 붙여넣으라고 하면, 멈추고 의심하기" 라는 원칙 하나만 지켜도 이름이 무엇으로 바뀌든 이 계열의 공격은 대부분 차단할 수 있습니다.

 

 

참고 : 

https://www.microsoft.com/en-us/security/blog/2026/08/28/terminalfix-campaign-deploys-reverse-tunnel-through-multistage-intrusion/