공격의 핵심: 이더하이딩(EtherHiding) 기법

이 캠페인이 전통적인 방법으로 차단하기 어려운 핵심 이유는 EtherHiding 기법에 있다. 공격자들은 기존처럼 차단 가능한 명령 및 제어(C2, Command and Control) 서버에 의존하는 대신, 악성 페이로드 명령어를 BNB 스마트체인 스마트컨트랙트에 직접 저장한다 . 블록체인의 특성상 해당 컨트랙트를 배포한 지갑 주소만이 내용을 수정할 수 있기 때문에, 전통적인 서버 차단이나 콘텐츠 제거 방식으로는 이 악성 명령어를 없애는 것이 사실상 불가능하다 . 이 캠페인은 이전에 가짜 브라우저 업데이트 알림으로 멀웨어를 유포했던 ClearFake 멀웨어 작전과 연관되어 있다 .

감염 경로: 해킹된 웹사이트에서 멀웨어 실행까지

공격은 사용자의 신뢰와 Windows 내장 도구를 악용하는 짧은 단계로 진행된다.

1. 웹사이트 해킹 – 공격자는 정상 웹사이트(주로 워드프레스 사이트)를 해킹하고 페이지에 Base64로 인코딩된 자바스크립트를 주입한다 .
2. 블록체인 질의 – 주입된 스크립트는 BNB 스마트체인 RPC 게이트웨이에 연결되어 특정 스마트컨트랙트에 저장된 다음 단계의 악성 명령어를 가져온다 .
3. 가짜 CAPTCHA – 브라우저가 가져온 명령어를 복호화하여 사용자에게 조작된 CAPTCHA 인증 화면을 표시한다 .
4. 사회공학적 공격(ClickFix/TerminalFix) – 사용자는 'Windows+R' 키를 눌러 '실행' 대화상자를 열거나(혹은 Windows Terminal이나 PowerShell을 열도록 유도받음), 클립보드에 복사된 명령어를 붙여넣고 실행하라는 안내를 받는다 . 이것이 핵심적인 사회공학적 속임수로, 사용자를 공격에 가담시키는 것이다.
5. 멀웨어 실행 – 붙여넣은 명령어는 최종 멀웨어 페이로드를 다운로드하고 실행한다 .

악용되는 Windows 도구 (Living-off-the-Land)

공격자들은 탐지를 피하기 위해 합법적인 Windows 내장 구성 요소를 광범위하게 악용하며, 이를 'Living-off-the-Land(LOLBins)' 기술이라고 한다 . 이 캠페인에서 관찰된 도구들은 다음과 같다.

• conhost – 콘솔 호스트, 명령 실행에 사용
• PowerShell – 스크립트 실행 및 페이로드 다운로드
• cmd (명령 프롬프트) – 직접 명령 실행
• mshta – 악성 HTA 파일 실행
• rundll32 – 명령줄을 통한 DLL 로딩
• curl – 다음 단계 페이로드 다운로드
• WMI (Windows Management Instrumentation) – 측면 이동 또는 지속성 확보
• Windows '실행' 대화상자 – ClickFix 미끼에 따른 최초 실행 지점

이렇게 신뢰할 수 있는 Microsoft 구성 요소들을 사용함으로써 많은 전통적인 엔드포인트 방어 체계를 우회할 수 있다 .

유포되는 멀웨어 종류

이 캠페인은 단일 멀웨어에 국한되지 않고 다양한 정보 탈취형 및 원격 접속 트로이목마(RAT)를 유포하는 통로 역할을 한다 .

• Lumma Stealer – 다수 사례에서 관찰된 주요 페이로드 . 브라우저 비밀번호, 암호화폐 지갑 자격 증명, 세션 쿠키 등 민감한 데이터를 수집한다.
• XWorm (Xworm) – 데이터 탈취 및 추가 페이로드 다운로드가 가능한 원격 접속 트로이목마(RAT).
• AsyncRAT – 감시, 키로깅, 자격 증명 탈취에 사용되는 오픈소스 RAT.
• MintsLoader – 감염된 시스템에 추가 멀웨어를 설치하는 다운로더/로더.
• 원격 관리 도구 – 지속성 및 측면 이동을 위해 악용될 수 있는 합법적인 도구(예: AnyDesk, 화면 공유 소프트웨어).

성공적인 공격 시 자격 증명 노출, 지속적인 접근 권한 확보, 네트워크 내 측면 이동, 나아가 랜섬웨어 배포로 이어질 수 있다 . macOS 시스템에서는 MacSync 및 Atomic Stealer도 유포되는 것이 관찰되었다 .

마이크로소프트 권장 방어 조치

마이크로소프트는 이 캠페인에 대응하기 위해 다음과 같은 실용적인 조치를 권고한다 .

1. Microsoft Defender 다중 계층 보호 활성화 – 실시간 보호, 클라우드 제공 보호, 변조 방지(Tamper Protection)를 모두 활성화한다.
2. 명령줄 도구 제한 – AppLocker 또는 WDAC(Windows Defender Application Control)를 사용해 PowerShell, mshta, rundll32 등 신뢰할 수 없는 도구의 실행을 차단한다.
3. PowerShell 스크립트 로깅 활성화 – 스크립트 블록 로깅(script block logging) 및 기록(transcription)을 켜서 난독화된 명령 실행 시도를 탐지한다.
4. 사용자 인식 제고 (가장 중요) – 출처가 불분명한 명령을 '실행' 대화상자, 터미널 또는 PowerShell에 절대 붙여넣지 않는다. 정상적인 CAPTCHA는 사용자에게 이러한 행동을 요구하지 않는다.
5. 스마트컨트랙트 RPC 엔드포인트 차단 – 가능한 경우, 블록체인 접근이 필요하지 않은 엔드포인트에서 공개 BNB 스마트체인 RPC 게이트웨이로의 아웃바운드 접근을 제한한다.
6. Microsoft Defender for SmartScreen 사용 – 사용자가 가짜 CAPTCHA를 보기 전에 악성 웹페이지를 초기 접근 단계에서 차단한다 .

탐지 및 커버리지

마이크로소프트의 공개 권고는 이 특정 캠페인에 대한 Microsoft Defender Antivirus 탐지명의 전체 목록을 제공하지는 않았지만 , 관련 보안 연구(2026년 7월 및 8월)에 따르면 Microsoft Defender for Endpoint는 다음과 같은 행동 기반 커버리지를 제공한다 .

• Living-off-the-land 실행 패턴
• 의심스러운 WebDAV 및 MSHTA 활동
• 난독화된 PowerShell 실행
• 예약된 작업(Scheduled Task) 지속성
• 인메모리 페이로드 실행
• 브라우저 자격 증명 탈취

마이크로소프트가 2026년 8월 5일에 발행한 macOS ClickFix 블로그는 Microsoft Defender for SmartScreen이 악성 웹페이지를 차단하며, Defender XDR이 특정 전술 및 기술 매핑 하에 표면 커버리지를 제공한다고 문서화했다 . ClickFix 위협 계열에 대한 Microsoft Defender Antivirus 탐지명에는 Behavior:Win32/ClickFix, Trojan:Win32/ClickFix, Trojan:HTML/FakeCaptcha 등이 포함되지만 , 이번 캠페인의 BNB 체인 관련 자바스크립트 주입에 대한 특정 시그니처는 배포되었지만 공개 경고에서 개별적으로 명명되지는 않았다 .

공격의 핵심: 이더하이딩(EtherHiding) 기법

이 캠페인이 전통적인 방법으로 차단하기 어려운 핵심 이유는 EtherHiding 기법에 있다. 공격자들은 기존처럼 차단 가능한 명령 및 제어(C2, Command and Control) 서버에 의존하는 대신, 악성 페이로드 명령어를 BNB 스마트체인 스마트컨트랙트에 직접 저장한다 . 블록체인의 특성상 해당 컨트랙트를 배포한 지갑 주소만이 내용을 수정할 수 있기 때문에, 전통적인 서버 차단이나 콘텐츠 제거 방식으로는 이 악성 명령어를 없애는 것이 사실상 불가능하다 . 이 캠페인은 이전에 가짜 브라우저 업데이트 알림으로 멀웨어를 유포했던 ClearFake 멀웨어 작전과 연관되어 있다 .

감염 경로: 해킹된 웹사이트에서 멀웨어 실행까지

공격은 사용자의 신뢰와 Windows 내장 도구를 악용하는 짧은 단계로 진행된다.

1. 웹사이트 해킹 – 공격자는 정상 웹사이트(주로 워드프레스 사이트)를 해킹하고 페이지에 Base64로 인코딩된 자바스크립트를 주입한다 .
2. 블록체인 질의 – 주입된 스크립트는 BNB 스마트체인 RPC 게이트웨이에 연결되어 특정 스마트컨트랙트에 저장된 다음 단계의 악성 명령어를 가져온다 .
3. 가짜 CAPTCHA – 브라우저가 가져온 명령어를 복호화하여 사용자에게 조작된 CAPTCHA 인증 화면을 표시한다 .
4. 사회공학적 공격(ClickFix/TerminalFix) – 사용자는 'Windows+R' 키를 눌러 '실행' 대화상자를 열거나(혹은 Windows Terminal이나 PowerShell을 열도록 유도받음), 클립보드에 복사된 명령어를 붙여넣고 실행하라는 안내를 받는다 . 이것이 핵심적인 사회공학적 속임수로, 사용자를 공격에 가담시키는 것이다.
5. 멀웨어 실행 – 붙여넣은 명령어는 최종 멀웨어 페이로드를 다운로드하고 실행한다 .

악용되는 Windows 도구 (Living-off-the-Land)

공격자들은 탐지를 피하기 위해 합법적인 Windows 내장 구성 요소를 광범위하게 악용하며, 이를 'Living-off-the-Land(LOLBins)' 기술이라고 한다 . 이 캠페인에서 관찰된 도구들은 다음과 같다.

• conhost – 콘솔 호스트, 명령 실행에 사용
• PowerShell – 스크립트 실행 및 페이로드 다운로드
• cmd (명령 프롬프트) – 직접 명령 실행
• mshta – 악성 HTA 파일 실행
• rundll32 – 명령줄을 통한 DLL 로딩
• curl – 다음 단계 페이로드 다운로드
• WMI (Windows Management Instrumentation) – 측면 이동 또는 지속성 확보
• Windows '실행' 대화상자 – ClickFix 미끼에 따른 최초 실행 지점

이렇게 신뢰할 수 있는 Microsoft 구성 요소들을 사용함으로써 많은 전통적인 엔드포인트 방어 체계를 우회할 수 있다 .

유포되는 멀웨어 종류

이 캠페인은 단일 멀웨어에 국한되지 않고 다양한 정보 탈취형 및 원격 접속 트로이목마(RAT)를 유포하는 통로 역할을 한다 .

• Lumma Stealer – 다수 사례에서 관찰된 주요 페이로드 . 브라우저 비밀번호, 암호화폐 지갑 자격 증명, 세션 쿠키 등 민감한 데이터를 수집한다.
• XWorm (Xworm) – 데이터 탈취 및 추가 페이로드 다운로드가 가능한 원격 접속 트로이목마(RAT).
• AsyncRAT – 감시, 키로깅, 자격 증명 탈취에 사용되는 오픈소스 RAT.
• MintsLoader – 감염된 시스템에 추가 멀웨어를 설치하는 다운로더/로더.
• 원격 관리 도구 – 지속성 및 측면 이동을 위해 악용될 수 있는 합법적인 도구(예: AnyDesk, 화면 공유 소프트웨어).

성공적인 공격 시 자격 증명 노출, 지속적인 접근 권한 확보, 네트워크 내 측면 이동, 나아가 랜섬웨어 배포로 이어질 수 있다 . macOS 시스템에서는 MacSync 및 Atomic Stealer도 유포되는 것이 관찰되었다 .

마이크로소프트 권장 방어 조치

마이크로소프트는 이 캠페인에 대응하기 위해 다음과 같은 실용적인 조치를 권고한다 .

1. Microsoft Defender 다중 계층 보호 활성화 – 실시간 보호, 클라우드 제공 보호, 변조 방지(Tamper Protection)를 모두 활성화한다.
2. 명령줄 도구 제한 – AppLocker 또는 WDAC(Windows Defender Application Control)를 사용해 PowerShell, mshta, rundll32 등 신뢰할 수 없는 도구의 실행을 차단한다.
3. PowerShell 스크립트 로깅 활성화 – 스크립트 블록 로깅(script block logging) 및 기록(transcription)을 켜서 난독화된 명령 실행 시도를 탐지한다.
4. 사용자 인식 제고 (가장 중요) – 출처가 불분명한 명령을 '실행' 대화상자, 터미널 또는 PowerShell에 절대 붙여넣지 않는다. 정상적인 CAPTCHA는 사용자에게 이러한 행동을 요구하지 않는다.
5. 스마트컨트랙트 RPC 엔드포인트 차단 – 가능한 경우, 블록체인 접근이 필요하지 않은 엔드포인트에서 공개 BNB 스마트체인 RPC 게이트웨이로의 아웃바운드 접근을 제한한다.
6. Microsoft Defender for SmartScreen 사용 – 사용자가 가짜 CAPTCHA를 보기 전에 악성 웹페이지를 초기 접근 단계에서 차단한다 .

탐지 및 커버리지

마이크로소프트의 공개 권고는 이 특정 캠페인에 대한 Microsoft Defender Antivirus 탐지명의 전체 목록을 제공하지는 않았지만 , 관련 보안 연구(2026년 7월 및 8월)에 따르면 Microsoft Defender for Endpoint는 다음과 같은 행동 기반 커버리지를 제공한다 .

• Living-off-the-land 실행 패턴
• 의심스러운 WebDAV 및 MSHTA 활동
• 난독화된 PowerShell 실행
• 예약된 작업(Scheduled Task) 지속성
• 인메모리 페이로드 실행
• 브라우저 자격 증명 탈취

마이크로소프트가 2026년 8월 5일에 발행한 macOS ClickFix 블로그는 Microsoft Defender for SmartScreen이 악성 웹페이지를 차단하며, Defender XDR이 특정 전술 및 기술 매핑 하에 표면 커버리지를 제공한다고 문서화했다 . ClickFix 위협 계열에 대한 Microsoft Defender Antivirus 탐지명에는 Behavior:Win32/ClickFix, Trojan:Win32/ClickFix, Trojan:HTML/FakeCaptcha 등이 포함되지만 , 이번 캠페인의 BNB 체인 관련 자바스크립트 주입에 대한 특정 시그니처는 배포되었지만 공개 경고에서 개별적으로 명명되지는 않았다 .