5,400개 이상 해킹된 사이트, 블록체인에 저장된 ‘ClickFix’ 페이로드 유포

BNB 및 워드프레스 생태계를 악용한 ‘ClickFix’ 블록체인 기반 대규모 악성코드 유포

• Annex Security와 NOC.org 연구진은 BNB Smart Chain 테스트넷 스마트컨트랙트에 저장된 ‘ClickFix’ 페이로드가 5,400개 이상 소규모 기업 웹사이트를 통해 유포되는 캠페인을 확인했다. 워드프레스·PrestaShop 기반 사이트가 주 대상이다.
• 공격자는 취약한 워드프레스·PrestaShop 사이트에 Base64 인코딩 자바스크립트를 주입해 BSC 테스트넷 RPC 엔드포인트를 호출하고, 스마트컨트랙트에서 다음 단계 코드와 C2 주소를 받아오는 EtherHiding 방식을 사용해 감염 절차를 완성한다.
• 피해 사용자가 손상된 사이트에서 가짜 CAPTCHA나 브라우저 오류 화면을 보면 ‘클릭하여 계속’ 버튼을 누르도록 유도되고, 이 클릭 이벤트로 윈도우·macOS 정보탈취 악성코드가 내려받아져 암호화폐 지갑, 브라우저 비밀번호, 키체인 데이터 등이 탈취된다.
• 연구진은 최근 수개월 동안 5,400개 이상 사이트가 악성 스크립트에 감염된 것을 식별했고, UNC5142 관련 이전 캠페인에서는 14,000개 이상 페이지가 구글에 의해 경고된 바 있다. 일부 캠페인은 최소 262일 동안 연속 운영되며 Polygon·BNB 양쪽 체인을 활용한다.
• 공격 인프라는 BNB·Polygon 퍼블릭 블록체인에 C2 주소와 페이로드를 저장해 도메인 압수나 DNS 차단으로 제거하기 어렵고, 3개 클라우드플레어 계정과 여러 DNS 등록자를 순환 사용해 탐지 회피를 강화한다. 이는 블록체인과 웹 호스팅 규제 공백을 파고드는 구조이다.
• 블록체인 스마트컨트랙트를 악성코드 배포 인프라로 활용하는 사례가 확산되면 웹사이트 보안과 암호화폐 생태계 규제가 결합된 정책이 필요하다. 한국은 소상공인 웹 호스팅 보안 강화와 블록체인 기반 C2 탐지·차단 기술 투자, 글로벌 체인 사업자와의 정보공유 협정을 서둘러야 한다.

블록체인에 악성코드 인프라를 심는 흐름은 국내 웹 호스팅·가상자산 산업을 동시에 겨냥할 수 있다. 중소 사이트 보안 의무와 체인 사업자 책임을 연계하는 규제·협력 프레임을 선제 설계할 필요가 있다.

주요 용어: ClickFix(가짜 CAPTCHA·브라우저 오류 화면으로 사용자의 클릭을 유도해 악성코드를 설치하는 사회공학·스크립트 공격 기법), EtherHiding(블록체인 스마트컨트랙트에 악성 코드·명령을 저장해 전통적 도메인·DNS 차단으로는 제거하기 어렵게 만드는 인프라 은닉 기법)

출처: BleepingComputer