4단계로 이뤄지는 ClickFix의 속임수

문서화된 거의 모든 캠페인에서 ClickFix 공격은 일관된 패턴을 따른다:

1. 미끼: 사용자가 해킹당했거나 악의적인 웹사이트에 접속하면 가짜 인증 창이 나타난다 — 위조된 Google reCAPTCHA, 가짜 Cloudflare '사람인지 확인', 허위 브라우저 업데이트 메시지, 혹은 QuickBooks나 Booking.com 오류 화면 등이다.
2. 복사-붙여넣기 지시: 페이지는 '인증을 완료하려면 Win+R을 누르고, Ctrl+V를 누른 다음, Enter를 누르세요'와 같은 안내를 표시한다.
3. 숨겨진 페이로드: 사용자의 클립보드에 복사된 것은 악성 PowerShell, mshta, 또는 curl 명령어로, 원격 서버에서 악성코드 로더를 다운로드해 실행한다.
4. 실행: 명령어는 사용자의 권한으로 실행된다. 사용자가 직접 붙여넣고 실행했기 때문에 엔드포인트 탐지 도구가 침입으로 인식하지 못하는 경우가 많다.

이 기법은 클립보드를 감염 경로로 활용한다는 점에서 '페스트재킹(pastejacking)'이라고도 불린다.

ClickFix 캠페인이 유포하는 악성코드

공격자들은 ClickFix 미끼를 이용해 다양한 악성코드를 유포하며, 대개 여러 단계의 감염 사슬을 구축한다:

• HijackLoader: 2025년 6월부터 ClickFix 체인에서 관찰된 1단계 로더로, 이후 DeerStealer 정보 탈취 악성코드를 다운로드하는 사례가 확인됐다.
• CastleLoader (CastleBot): 2025년 초부터 활동한 '멀웨어 서비스(MaaS)' 프레임워크. 한 캠페인은 가짜 배경 제거 웹사이트를 이용해 CastleLoader를 유포했고, 이는 NetSupport RAT과 브라우저 자격 증명·암호화폐 지갑·텔레그램 세션을 노리는 맞춤형 .NET 스틸러를 추가로 설치했다.
• NetSupport RAT: 합법적인 원격 관리 도구를 공격자가 악용, 지속적인 백도어 접근을 위해 사용한다.
• StealC: 브라우저 자격 증명과 암호화폐 지갑 정보를 노리는 정보 탈취 트로이 목마.
• Amatera: 가짜 CAPTCHA와 서명된 Microsoft App-V 스크립트를 결합한 ClickFix 캠페인을 통해 유포되는 인포스틸러.
• Rust 기반 스틸러: 2025년 후반에 시작된 다형성 ClickFix 캠페인에서 확인됐다.
• DeerStealer: HijackLoader 다음 단계로 전달되는 최종 실행 파일로 관찰됐다.
• ResiLoader: 새롭게 문서화된 로더로, 피해자 PC에서 140개 이상의 백신·보안 도구 프로세스를 종료시켜 방어 체계를 무력화한 뒤 최종 페이로드를 실행하도록 설계됐다.

유포 방식

공격자들은 ClickFix 공격을 호스팅하고 유포하기 위해 다양한 인프라를 활용한다:

• Cloudflare R2 스토리지: 악성 페이로드 바이너리를 호스팅하는 데 사용된다.
• Cloudflare Pages 서브도메인: Cloudflare의 신뢰할 수 있는 인증서를 갖춘 가짜 CAPTCHA 페이지를 제공하는 데 악용된다.
• Dedik Services Limited 호스팅: ClickFix 명령·제어(C2) 인프라의 호스팅 제공자로 관찰됐다.
• 만료된 도메인: 자격 증명 수집과 페이로드 전달에 사용하기 위해 등록 또는 재등록된 만료 도메인.
• 해킹된 정상 웹사이트: 가장 일반적인 초기 경로. 공격자는 정상 사이트(주로 플러그인 취약점이나 CMS 익스플로잇을 통해)에 악성 자바스크립트나 iframe을 주입해 방문자를 ClickFix 랜딩 페이지로 리디렉션한다.
• SEO 중독 및 악성 광고: 검색 엔진 결과를 통해 유포되는 가짜 설치 프로그램 사이트 및 불법 소프트웨어 포털.
• Ghost CMS 취약점 활용: 2026년 5월, 공격자들은 Ghost CMS의 SQL 인젝션 취약점(CVE-2026-26980)을 악용해 700개 이상의 정상 교육·기술 웹사이트를 탈취하고 ClickFix 프롬프트를 주입했다.

위협의 중요성: ClickFix가 지배적인 이유

• 마이크로소프트의 2025 디지털 방어 보고서는 ClickFix를 1위 초기 침입 방식으로 지목하며, 마이크로소프트 디펜더 익스퍼츠가 관찰한 전체 공격의 47% 를 차지한다고 밝혔다(전통적 피싱 35%를 상회).
• ESET 원격 측정에 따르면, 2025년 상반기에만 ClickFix 공격이 517% 급증했다.
• 멘로 랩스가 문서화한 한 캠페인에서는 단일 다형성 자바스크립트 미끼로 크로스 플랫폼 페이로드(Windows PowerShell 명령어, macOS .command 스크립트, Linux Bash 스크립트)를 동시에 전달했다.
• 미국 보건복지부(HHS)는 2026년 7월 ClickFix에 대한 업계 경보를 발령, 이 기법이 중요 기반 시설에까지 영향을 미치고 있음을 확인했다.
• Recorded Future의 Insikt 그룹은 2026년 3월 보고서에서 ClickFix가 2026년 내내 지배적인 초기 침입 벡터로 남을 가능성이 매우 높다고 평가했다.

방어 조치: 전문가들이 권장하는 방법

ClickFix는 소프트웨어 취약점이 아닌 인간의 행동을 악용하기 때문에, 방어는 기술적 통제와 사용자 인식에 크게 의존한다:

• PowerShell 실행 제한: 관리자가 아닌 사용자의 PowerShell 스크립트 실행을 차단한다. 그룹 정책을 통해 실행 정책을 'Restricted'로 설정하고 모든 PowerShell 실행 이벤트를 기록한다.
• Windows 실행 창 비활성화: 레지스트리 수정(NoRun 정책)을 통해 Win+R을 사용한 명령어 붙여넣기 및 실행을 차단할 수 있다.
• 의심스러운 명령 프롬프트 지시를 즉시 위험 신호로 간주: 정당한 웹사이트나 서비스가 사용자에게 Win+R을 누르고 명령어를 붙여넣은 뒤 Enter를 누르라고 요구하는 경우는 절대 없다. 이 내용은 사용자 인식 훈련 최우선 항목이어야 한다.
• 사용자 컨텍스트에서 mshta, cscript, curl 실행 차단: AppLocker나 Windows Defender 애플리케이션 제어를 사용해 스크립트 인터프리터를 제한한다.
• 엔드포인트 탐지 규칙 배포: 비정상적인 powershell.exe -ep bypass 부모 프로세스, explorer.exe에서 스크립트 인터프리터로 이어지는 프로세스 계통, RunMRU 레지스트리 아티팩트 등을 모니터링한다.
• 클립보드 보안 기능 사용: 브라우저 수준의 클립보드 보호 기능은 ClickFix가 핵심적으로 활용하는 복사-붙여넣기 메커니즘 자체를 차단할 수 있다.

오페라 브라우저의 Paste Protect 기능

오페라는 자체 Paste Protect 기능(Windows, macOS, Linux에서 Opera 100+ 버전 제공)을 도입했다. 이 기능은 클립보드 기반 페이스트재킹 공격을 가로채 차단한다. 웹사이트가 프로그래밍 방식으로 의심스러운 페이로드를 클립보드에 기록한 후 사용자에게 붙여넣기를 요청하면, Paste Protect가 경고를 표시하고 해당 작업을 완료하지 못하게 차단한다. 별도의 확장 프로그램 설치 없이 ClickFix 핵심 기법을 직접 완화해 주는 기능이다.

4단계로 이뤄지는 ClickFix의 속임수

문서화된 거의 모든 캠페인에서 ClickFix 공격은 일관된 패턴을 따른다:

1. 미끼: 사용자가 해킹당했거나 악의적인 웹사이트에 접속하면 가짜 인증 창이 나타난다 — 위조된 Google reCAPTCHA, 가짜 Cloudflare '사람인지 확인', 허위 브라우저 업데이트 메시지, 혹은 QuickBooks나 Booking.com 오류 화면 등이다.
2. 복사-붙여넣기 지시: 페이지는 '인증을 완료하려면 Win+R을 누르고, Ctrl+V를 누른 다음, Enter를 누르세요'와 같은 안내를 표시한다.
3. 숨겨진 페이로드: 사용자의 클립보드에 복사된 것은 악성 PowerShell, mshta, 또는 curl 명령어로, 원격 서버에서 악성코드 로더를 다운로드해 실행한다.
4. 실행: 명령어는 사용자의 권한으로 실행된다. 사용자가 직접 붙여넣고 실행했기 때문에 엔드포인트 탐지 도구가 침입으로 인식하지 못하는 경우가 많다.

이 기법은 클립보드를 감염 경로로 활용한다는 점에서 '페스트재킹(pastejacking)'이라고도 불린다.

ClickFix 캠페인이 유포하는 악성코드

공격자들은 ClickFix 미끼를 이용해 다양한 악성코드를 유포하며, 대개 여러 단계의 감염 사슬을 구축한다:

• HijackLoader: 2025년 6월부터 ClickFix 체인에서 관찰된 1단계 로더로, 이후 DeerStealer 정보 탈취 악성코드를 다운로드하는 사례가 확인됐다.
• CastleLoader (CastleBot): 2025년 초부터 활동한 '멀웨어 서비스(MaaS)' 프레임워크. 한 캠페인은 가짜 배경 제거 웹사이트를 이용해 CastleLoader를 유포했고, 이는 NetSupport RAT과 브라우저 자격 증명·암호화폐 지갑·텔레그램 세션을 노리는 맞춤형 .NET 스틸러를 추가로 설치했다.
• NetSupport RAT: 합법적인 원격 관리 도구를 공격자가 악용, 지속적인 백도어 접근을 위해 사용한다.
• StealC: 브라우저 자격 증명과 암호화폐 지갑 정보를 노리는 정보 탈취 트로이 목마.
• Amatera: 가짜 CAPTCHA와 서명된 Microsoft App-V 스크립트를 결합한 ClickFix 캠페인을 통해 유포되는 인포스틸러.
• Rust 기반 스틸러: 2025년 후반에 시작된 다형성 ClickFix 캠페인에서 확인됐다.
• DeerStealer: HijackLoader 다음 단계로 전달되는 최종 실행 파일로 관찰됐다.
• ResiLoader: 새롭게 문서화된 로더로, 피해자 PC에서 140개 이상의 백신·보안 도구 프로세스를 종료시켜 방어 체계를 무력화한 뒤 최종 페이로드를 실행하도록 설계됐다.

유포 방식

공격자들은 ClickFix 공격을 호스팅하고 유포하기 위해 다양한 인프라를 활용한다:

• Cloudflare R2 스토리지: 악성 페이로드 바이너리를 호스팅하는 데 사용된다.
• Cloudflare Pages 서브도메인: Cloudflare의 신뢰할 수 있는 인증서를 갖춘 가짜 CAPTCHA 페이지를 제공하는 데 악용된다.
• Dedik Services Limited 호스팅: ClickFix 명령·제어(C2) 인프라의 호스팅 제공자로 관찰됐다.
• 만료된 도메인: 자격 증명 수집과 페이로드 전달에 사용하기 위해 등록 또는 재등록된 만료 도메인.
• 해킹된 정상 웹사이트: 가장 일반적인 초기 경로. 공격자는 정상 사이트(주로 플러그인 취약점이나 CMS 익스플로잇을 통해)에 악성 자바스크립트나 iframe을 주입해 방문자를 ClickFix 랜딩 페이지로 리디렉션한다.
• SEO 중독 및 악성 광고: 검색 엔진 결과를 통해 유포되는 가짜 설치 프로그램 사이트 및 불법 소프트웨어 포털.
• Ghost CMS 취약점 활용: 2026년 5월, 공격자들은 Ghost CMS의 SQL 인젝션 취약점(CVE-2026-26980)을 악용해 700개 이상의 정상 교육·기술 웹사이트를 탈취하고 ClickFix 프롬프트를 주입했다.

위협의 중요성: ClickFix가 지배적인 이유

• 마이크로소프트의 2025 디지털 방어 보고서는 ClickFix를 1위 초기 침입 방식으로 지목하며, 마이크로소프트 디펜더 익스퍼츠가 관찰한 전체 공격의 47% 를 차지한다고 밝혔다(전통적 피싱 35%를 상회).
• ESET 원격 측정에 따르면, 2025년 상반기에만 ClickFix 공격이 517% 급증했다.
• 멘로 랩스가 문서화한 한 캠페인에서는 단일 다형성 자바스크립트 미끼로 크로스 플랫폼 페이로드(Windows PowerShell 명령어, macOS .command 스크립트, Linux Bash 스크립트)를 동시에 전달했다.
• 미국 보건복지부(HHS)는 2026년 7월 ClickFix에 대한 업계 경보를 발령, 이 기법이 중요 기반 시설에까지 영향을 미치고 있음을 확인했다.
• Recorded Future의 Insikt 그룹은 2026년 3월 보고서에서 ClickFix가 2026년 내내 지배적인 초기 침입 벡터로 남을 가능성이 매우 높다고 평가했다.

방어 조치: 전문가들이 권장하는 방법

ClickFix는 소프트웨어 취약점이 아닌 인간의 행동을 악용하기 때문에, 방어는 기술적 통제와 사용자 인식에 크게 의존한다:

• PowerShell 실행 제한: 관리자가 아닌 사용자의 PowerShell 스크립트 실행을 차단한다. 그룹 정책을 통해 실행 정책을 'Restricted'로 설정하고 모든 PowerShell 실행 이벤트를 기록한다.
• Windows 실행 창 비활성화: 레지스트리 수정(NoRun 정책)을 통해 Win+R을 사용한 명령어 붙여넣기 및 실행을 차단할 수 있다.
• 의심스러운 명령 프롬프트 지시를 즉시 위험 신호로 간주: 정당한 웹사이트나 서비스가 사용자에게 Win+R을 누르고 명령어를 붙여넣은 뒤 Enter를 누르라고 요구하는 경우는 절대 없다. 이 내용은 사용자 인식 훈련 최우선 항목이어야 한다.
• 사용자 컨텍스트에서 mshta, cscript, curl 실행 차단: AppLocker나 Windows Defender 애플리케이션 제어를 사용해 스크립트 인터프리터를 제한한다.
• 엔드포인트 탐지 규칙 배포: 비정상적인 powershell.exe -ep bypass 부모 프로세스, explorer.exe에서 스크립트 인터프리터로 이어지는 프로세스 계통, RunMRU 레지스트리 아티팩트 등을 모니터링한다.
• 클립보드 보안 기능 사용: 브라우저 수준의 클립보드 보호 기능은 ClickFix가 핵심적으로 활용하는 복사-붙여넣기 메커니즘 자체를 차단할 수 있다.

오페라 브라우저의 Paste Protect 기능

오페라는 자체 Paste Protect 기능(Windows, macOS, Linux에서 Opera 100+ 버전 제공)을 도입했다. 이 기능은 클립보드 기반 페이스트재킹 공격을 가로채 차단한다. 웹사이트가 프로그래밍 방식으로 의심스러운 페이로드를 클립보드에 기록한 후 사용자에게 붙여넣기를 요청하면, Paste Protect가 경고를 표시하고 해당 작업을 완료하지 못하게 차단한다. 별도의 확장 프로그램 설치 없이 ClickFix 핵심 기법을 직접 완화해 주는 기능이다.