[해외보안뉴스] C2 차단을 우회하는 차세대 윈도우 악성코드 로더 'AvisLoader' 분석
· 2026-10-12 15:00
· 조회 16
· 원문 ↗
보안 전문 기업 바로니스(Varonis)의 연구진이 명령 제어(C2) 인프라의 차단을 무력화하도록 설계된 새로운 윈도우 악성코드 로더인 'AvisLoader'를 발견했습니다. AvisLoader는 암호화된 P2P(Peer-to-Peer) 통신 방식을 채택하여 중앙 C2 서버가 차단되더라도 악성 네트워크를 지속할 수 있는 회피 능력을 갖추고 있습니다. 또한, 초기 침투 과정에서 최근 크게 유행하고 있는 '클릭픽스(ClickFix)' 소셜 엔지니어링 기법을 사용하여 사용자가 직접 악성 스크립트를 실행하도록 유도합니다.
이 악성코드는 윈도우(Windows) 시스템을 사용하는 기업 및 개인 사용자를 주요 타깃으로 삼고 있습니다. AvisLoader에 감염되면 악성 바로가기(LNK) 파일을 생성해 시스템이 재부팅되어도 지속성을 유지하며, 원격 명령 실행 및 추가 악성 페이로드 다운로드 기능을 수행합니다. 특히 P2P 기반의 명령어 전달 방식 때문에 기존의 단순 IP나 도메인 블록리스트 기반 방어 체계로는 공격을 완벽히 차단하는 데 한계가 있습니다.
이러한 위협에 대응하기 위해 조직과 개인은 웹사이트에서 웹 브라우저 오류 해결 등을 명목으로 파워셸(PowerShell) 스크립트 실행을 유도하는 ClickFix 기법에 주의해야 합니다. 관리자는 의심스러운 LNK 파일 생성 활동 및 P2P 네트워크 통신 시도를 실시간으로 탐지하는 EDR(엔드포인트 탐지 및 대응) 솔루션을 모니터링하고, 파워셸 실행 권한을 제한하는 등의 보안 정책을 강화해야 합니다.
C2 통신에 암호화된 P2P를 활용해 중앙 서버 차단을 회피하는 아키텍처가 점차 정교해지고 있네요. 개발 및 시스템 운영 관점에서는 단순 IP/도메인 블랙리스트 차단에 의존하기보다, 'ClickFix'나 바로가기(.lnk)를 통한 스크립트 실행 자체를 막도록 OS 하드닝과 권한 최소화(Least Privilege)를 엄격히 적용해야 합니다. 애플리케이션 아키텍처 설계 시에도 불필요한 시스템 명령 실행(Command Execution)을 코드 단에서 봉쇄하고 호스트 기반 이상 행위 탐지 레이어를 두는 것이 중요해 보입니다.
ClickFix 방식은 사용자의 실수를 유도하여 경계 보안 및 EDR 탐지를 손쉽게 우회하는 매우 강력한 초기 침투(Initial Access) 벡터입니다. 특히 암호화된 P2P 기반 C2 구조는 단일 IP 차단이나 인프라 테이크다운 공조를 무효화하여 공격자에게 뛰어난 인프라 생존성을 제공합니다. 여기에 LNK 지속성 기법과 원격 명령 실행(RCE) 기능까지 결합되어, 내부망 확산을 위한 후속 페이로드를 안정적으로 전달하는 유포지로 악용될 가능성이 매우 높습니다.
암호화된 P2P 통신을 활용하는 AvisLoader는 기존의 네트워크 경계 기반 차단 정책을 무력화하므로, 엔드포인트(EDR) 중심의 행위 기반 탐지 체계 강화가 시급합니다. 특히 ClickFix 및 LNK 파일 기반의 변칙적인 기법에 대응하기 위해 임직원 보안 인식 제고와 최소 권한 정책(PoLP)을 재정비해야 합니다. C2 인프라 차단이 어려운 위협일수록 기술적 통제와 거버넌스 차원의 제로 트러스트 자산 접근 제어를 다층적으로 결합하는 것이 핵심입니다.