클릭 한 번으로 PC가 감염된다?…2025년 최고 위협 'ClickFix' 공격의 모든 것

Windows, macOS, 리눅스 모두 노린다…'사용자의 손'을 무기로 삼은 사회공학 공격

ClickFix는 소프트웨어 결함이나 특정 애플리케이션의 취약점이 아니다. 전적으로 사용자의 행동에 의존하는 사회공학 기법이며, 2025~2026년 현재 공격자들이 시스템에 초기 침입하는 가장 보편적인 방식으로 자리 잡았다^FEM. 사이버 범죄 조직은 물론 국가 주도 해킹 그룹까지 이 방식을 대규모로 채택했으며, 가짜 Google reCAPTCHA와 Cloudflare 인증 페이지를 이용해 피해자가 스스로 악성 명령어를 실행하도록 속인다^FSP.

4단계로 이뤄지는 ClickFix의 속임수

문서화된 거의 모든 캠페인에서 ClickFix 공격은 일관된 패턴을 따른다^EFS:

1. 미끼: 사용자가 해킹당했거나 악의적인 웹사이트에 접속하면 가짜 인증 창이 나타난다 — 위조된 Google reCAPTCHA, 가짜 Cloudflare '사람인지 확인', 허위 브라우저 업데이트 메시지, 혹은 QuickBooks나 Booking.com 오류 화면 등이다^EFE.
2. 복사-붙여넣기 지시: 페이지는 '인증을 완료하려면 Win+R을 누르고, Ctrl+V를 누른 다음, Enter를 누르세요'와 같은 안내를 표시한다^ER.
3. 숨겨진 페이로드: 사용자의 클립보드에 복사된 것은 악성 PowerShell, mshta, 또는 curl 명령어로, 원격 서버에서 악성코드 로더를 다운로드해 실행한다^HES.
4. 실행: 명령어는 사용자의 권한으로 실행된다. 사용자가 직접 붙여넣고 실행했기 때문에 엔드포인트 탐지 도구가 침입으로 인식하지 못하는 경우가 많다^P.

이 기법은 클립보드를 감염 경로로 활용한다는 점에서 '페스트재킹(pastejacking)'이라고도 불린다^RN.

ClickFix 캠페인이 유포하는 악성코드

공격자들은 ClickFix 미끼를 이용해 다양한 악성코드를 유포하며, 대개 여러 단계의 감염 사슬을 구축한다:

• HijackLoader: 2025년 6월부터 ClickFix 체인에서 관찰된 1단계 로더로, 이후 DeerStealer 정보 탈취 악성코드를 다운로드하는 사례가 확인됐다^SM.
• CastleLoader (CastleBot): 2025년 초부터 활동한 '멀웨어 서비스(MaaS)' 프레임워크. 한 캠페인은 가짜 배경 제거 웹사이트를 이용해 CastleLoader를 유포했고, 이는 NetSupport RAT과 브라우저 자격 증명·암호화폐 지갑·텔레그램 세션을 노리는 맞춤형 .NET 스틸러를 추가로 설치했다^FMH.
• NetSupport RAT: 합법적인 원격 관리 도구를 공격자가 악용, 지속적인 백도어 접근을 위해 사용한다^FES.
• StealC: 브라우저 자격 증명과 암호화폐 지갑 정보를 노리는 정보 탈취 트로이 목마^CC.
• Amatera: 가짜 CAPTCHA와 서명된 Microsoft App-V 스크립트를 결합한 ClickFix 캠페인을 통해 유포되는 인포스틸러^T.
• Rust 기반 스틸러: 2025년 후반에 시작된 다형성 ClickFix 캠페인에서 확인됐다^F.
• DeerStealer: HijackLoader 다음 단계로 전달되는 최종 실행 파일로 관찰됐다^S.
• ResiLoader: 새롭게 문서화된 로더로, 피해자 PC에서 140개 이상의 백신·보안 도구 프로세스를 종료시켜 방어 체계를 무력화한 뒤 최종 페이로드를 실행하도록 설계됐다^HP.

유포 방식

공격자들은 ClickFix 공격을 호스팅하고 유포하기 위해 다양한 인프라를 활용한다:

• Cloudflare R2 스토리지: 악성 페이로드 바이너리를 호스팅하는 데 사용된다^H.
• Cloudflare Pages 서브도메인: Cloudflare의 신뢰할 수 있는 인증서를 갖춘 가짜 CAPTCHA 페이지를 제공하는 데 악용된다^H.
• Dedik Services Limited 호스팅: ClickFix 명령·제어(C2) 인프라의 호스팅 제공자로 관찰됐다^H.
• 만료된 도메인: 자격 증명 수집과 페이로드 전달에 사용하기 위해 등록 또는 재등록된 만료 도메인^H.
• 해킹된 정상 웹사이트: 가장 일반적인 초기 경로. 공격자는 정상 사이트(주로 플러그인 취약점이나 CMS 익스플로잇을 통해)에 악성 자바스크립트나 iframe을 주입해 방문자를 ClickFix 랜딩 페이지로 리디렉션한다^FEM.
• SEO 중독 및 악성 광고: 검색 엔진 결과를 통해 유포되는 가짜 설치 프로그램 사이트 및 불법 소프트웨어 포털^MS.
• Ghost CMS 취약점 활용: 2026년 5월, 공격자들은 Ghost CMS의 SQL 인젝션 취약점(CVE-2026-26980)을 악용해 700개 이상의 정상 교육·기술 웹사이트를 탈취하고 ClickFix 프롬프트를 주입했다^M.

위협의 중요성: ClickFix가 지배적인 이유

• 마이크로소프트의 2025 디지털 방어 보고서는 ClickFix를 1위 초기 침입 방식으로 지목하며, 마이크로소프트 디펜더 익스퍼츠가 관찰한 전체 공격의 47% 를 차지한다고 밝혔다(전통적 피싱 35%를 상회)^FCMB.
• ESET 원격 측정에 따르면, 2025년 상반기에만 ClickFix 공격이 517% 급증했다^FCO.
• 멘로 랩스가 문서화한 한 캠페인에서는 단일 다형성 자바스크립트 미끼로 크로스 플랫폼 페이로드(Windows PowerShell 명령어, macOS .command 스크립트, Linux Bash 스크립트)를 동시에 전달했다^F.
• 미국 보건복지부(HHS)는 2026년 7월 ClickFix에 대한 업계 경보를 발령, 이 기법이 중요 기반 시설에까지 영향을 미치고 있음을 확인했다^H.
• Recorded Future의 Insikt 그룹은 2026년 3월 보고서에서 ClickFix가 2026년 내내 지배적인 초기 침입 벡터로 남을 가능성이 매우 높다고 평가했다^B.

방어 조치: 전문가들이 권장하는 방법

ClickFix는 소프트웨어 취약점이 아닌 인간의 행동을 악용하기 때문에, 방어는 기술적 통제와 사용자 인식에 크게 의존한다^HEM:

• PowerShell 실행 제한: 관리자가 아닌 사용자의 PowerShell 스크립트 실행을 차단한다. 그룹 정책을 통해 실행 정책을 'Restricted'로 설정하고 모든 PowerShell 실행 이벤트를 기록한다^HE.
• Windows 실행 창 비활성화: 레지스트리 수정(NoRun 정책)을 통해 Win+R을 사용한 명령어 붙여넣기 및 실행을 차단할 수 있다^EH.
• 의심스러운 명령 프롬프트 지시를 즉시 위험 신호로 간주: 정당한 웹사이트나 서비스가 사용자에게 Win+R을 누르고 명령어를 붙여넣은 뒤 Enter를 누르라고 요구하는 경우는 절대 없다. 이 내용은 사용자 인식 훈련 최우선 항목이어야 한다^HFM.
• 사용자 컨텍스트에서 mshta, cscript, curl 실행 차단: AppLocker나 Windows Defender 애플리케이션 제어를 사용해 스크립트 인터프리터를 제한한다^HE.
• 엔드포인트 탐지 규칙 배포: 비정상적인 powershell.exe -ep bypass 부모 프로세스, explorer.exe에서 스크립트 인터프리터로 이어지는 프로세스 계통, RunMRU 레지스트리 아티팩트 등을 모니터링한다^FU.
• 클립보드 보안 기능 사용: 브라우저 수준의 클립보드 보호 기능은 ClickFix가 핵심적으로 활용하는 복사-붙여넣기 메커니즘 자체를 차단할 수 있다.

오페라 브라우저의 Paste Protect 기능

오페라는 자체 Paste Protect 기능(Windows, macOS, Linux에서 Opera 100+ 버전 제공)을 도입했다. 이 기능은 클립보드 기반 페이스트재킹 공격을 가로채 차단한다. 웹사이트가 프로그래밍 방식으로 의심스러운 페이로드를 클립보드에 기록한 후 사용자에게 붙여넣기를 요청하면, Paste Protect가 경고를 표시하고 해당 작업을 완료하지 못하게 차단한다. 별도의 확장 프로그램 설치 없이 ClickFix 핵심 기법을 직접 완화해 주는 기능이다.