[해외보안뉴스] 더 정교해진 'ClickFix' 공격… DNS TXT 레코드와 브라우저 캐시로 악성 페이로드 은닉
· 2026-10-11 09:00
· 조회 12
· 원문 ↗
사이버 위협 조직들이 가짜 오류 안내창으로 사용자를 속여 직접 악성 명령어를 실행하게 만드는 'ClickFix' 공격 기법을 한층 더 정교하게 진화시키고 있습니다. 최근 관찰된 공격 유형에서는 악성 페이로드를 DNS TXT 레코드 내에 은닉하고, 브라우저의 캐시 프리페칭(Pre-fetching) 기능을 악용하는 방식이 새롭게 도입되었습니다. 이러한 변화는 보안 탐지 시스템의 초기 감시망을 회피하고 페이로드 수집 과정을 숨기기 위한 것으로 분석됩니다.
공격자는 악성 스크립트 코드를 웹사이트에 직접 배치하는 대신 도메인의 DNS TXT 레코드에 인코딩된 형태로 저장한 후, 실행 시점에 이를 호출하는 방식을 취합니다. 동시에 브라우저가 다음 방문 페이지를 미리 로드하는 캐시 프리페치 메커니즘을 이용해 사용자가 인지하지 못하는 사이에 백그라운드에서 악성 페이로드를 미리 다운로드합니다. 이 기법은 일반 웹 사용자는 물론 기업 네트워크를 타깃으로 삼고 있으며, 초기 침투 후 정보 탈취형 악성코드(Infostealer)를 유포하거나 내부망 권한을 확보하는 데 악용되고 있습니다.
이와 같은 진화된 위협에 대응하기 위해서는 네트워크 측면에서 비정상적이거나 대용량 데이터를 포함한 DNS TXT 쿼리 요청을 모니터링하고 차단하는 탐지 룰을 마련해야 합니다. 엔드포인트 단에서는 파워셸(PowerShell)이나 실행(Run) 창을 통한 스크립트 실행 권한을 제한하고, 사용자에게 웹사이트 가짜 경고창의 안내에 따라 코드를 복사·붙여넣기하지 않도록 보안 교육을 강화해야 합니다.
UX 최적화를 위한 브라우저 프리페치(Pre-fetching)와 정상적인 DNS TXT 레코드가 악성 페이로드 은닉에 악용되는 방식이 매우 정교해졌네요. 이제 단순한 페이로드 시그니처 검출을 넘어 프론트엔드 영역의 엄격한 CSP(Content Security Policy) 수립과 비정상적인 DNS 쿼리 모니터링이 필수적입니다. 개발 관점에서도 클라이언트 사이드에서 호출되는 외부 리소스 로딩에 대한 세분화된 통제 로직을 아키텍처 단계부터 반영해야겠습니다.
DNS TXT 레코드를 활용한 페이로드 전달은 일반적인 HTTP 웹 필터링을 무력화하고 네트워크 경계 탐지를 우회하는 매우 강력한 공격 벡터입니다. 여기에 브라우저 캐시 프리페칭까지 결합하면 페이로드를 디바이스에 정밀하게 은닉할 수 있어 초기 침투(Initial Access) 성공률이 극적으로 향상됩니다. 침투 테스터 관점에서도 보안 장비의 사전 탐지를 피하기 매우 유용한 우회 시나리오이며, 이제 방어자(Blue Team)는 단순 URL 차단을 넘어 DNS 프로토콜 분석과 캐시 영역 모니터링이 강제되는 큰 부담을 안게 되었습니다.
DNS TXT 레코드와 브라우저 프리페칭을 악용한 페이로드 은닉 기법은 기존 시그니처 기반 탐지 체계의 한계를 명확히 보여줍니다.
조직 차원에서 DNS 모니터링을 강화하고, 브라우저 보안 정책 정비와 함께 행위 기반 위협 탐지(EDR/NDR) 모델로의 전환을 서둘러야 합니다.
정교해지는 공격 기법에 대응하여 임직원 대상의 ClickFix 우회 수법 교육과 제로 트러스트 기반의 액세스 통제를 더욱 정밀하게 가다듬겠습니다.