ClickFix 기술의 진화
ClickFix 기술은 2024년 등장한 이래 가장 널리 퍼진 사이버 공격 기법 중 하나가 되었으며, FileFix, InstallFix, TerminalFix와 같은 광범위한 하위 공격 계열을 포함하도록 진화했습니다. Push Security의 데이터에 따르면, 이러한 공격은 2026년 8월까지 전체 보안 탐지의 67%를 차지하며 AiTM과 같은 전통적인 피싱 기법을 넘어섰습니다.
유인책으로서의 인공지능
현재 공격자들은 생성형 인공지능(GenAI) 도구에 대한 사용자의 열정을 악용하여 공격을 감행하고 있습니다. 이 전략은 두 가지 사실에 기반합니다. 첫째는 임직원들이 웹페이지에서 설치 명령어를 터미널 인터페이스로 직접 복사하는 것에 익숙하다는 점이며, 둘째는 공식 웹사이트를 직접 방문하는 대신 검색 엔진에 의존하여 인공지능 도구에 접근하는 경향이 늘어났다는 점입니다.
혁신적인 공격 메커니즘
- InstallFix: 공격자들은 Claude Code와 같은 유명 도구를 모방한 가짜 설치 페이지를 만듭니다. "복사" 버튼을 누르면 실제 명령어 코드가 악성 명령어로 교체되어 디스크에 파일을 저장할 필요 없이 메모리에서 직접 스크립트를 실행하므로 탐지가 어려워집니다.
- LLMshare: ChatGPT 및 Claude 같은 플랫폼의 공유 기능을 악용합니다. 공격자들은 악성 링크가 포함된 대화나 "Artifacts"를 생성하며, 이는 공식 플랫폼 도메인에서 호스팅되기 때문에 신뢰도가 매우 높습니다.
- Custom GPTs: 기술 지원 서비스인 것처럼 사용자에게 상호 작용하는 맞춤형 GPT 모델을 사용하여 최종적으로 악성 페이로드가 포함된 외부 페이지로 사용자를 유도합니다.
전통적인 방어가 실패하는 이유
ClickFix 공격이 보안 시스템을 우회하는 데 성공하는 데는 몇 가지 근본적인 이유가 있습니다.
- 이메일 게이트웨이 우회: 이러한 공격의 대부분은 이메일 검사를 거치지 않고 검색 엔진나 허위 광고를 통해 시작됩니다.
- 합법적인 인프라 사용: 공격자들은 신뢰할 수 있거나 해킹된 웹사이트에 의존하며, 블록체인의 스마트 계약에 공격 설정을 저장하는 EtherHiding과 같은 기술을 사용하여 서버를 차단하는 것을 불가능하게 만듭니다.
- 메모리 내 실행: 명령어가 합법적인 명령줄 인터페이스에서 실행되기 때문에 특정 의심스러운 프로세스 패턴을 찾는 기존 안티바이러스 프로그램의 경고를 유발하지 않습니다.
사용자에게 이것이 의미하는 바는 무엇인가요?
이러한 공격은 전통적인 보안 인식만으로는 더 이상 충분하지 않다는 것을 증명합니다. 사용자는 신뢰할 수 있는 사이트에 있거나 잘 알려진 인공지능 도구를 사용한다고 해서 더 이상 안전하지 않습니다. 웹에서 설치 명령어를 "복사하여 붙여넣기"하는 행위는 중요한 보안 취약점으로 작용하며, 공격자가 사용자가 장치의 클립보드에 실제로 복사하는 내용을 조작할 수 있으므로 실행 전 명령어를 검증하는 것이 최고의 기술적 필수 사항이 되었습니다.