[해외보안뉴스] 새로운 'ROMULUS' 클릭픽스 플랫폼 등장… LegionLoader 등 악성코드 유포 주의

보안 전문 기업 포어스카우트 리서치(Forescout Research - Vedere Labs)에 따르면, 최근 해커들이 'ROMULUS'라는 새로운 악성코드 유포 플랫폼을 활용해 LegionLoader를 비롯한 다양한 악성코드를 확산시키고 있는 것으로 확인되었습니다. ROMULUS는 일종의 '서비스형 악성코드 유포(Malware Delivery Service)'로 운영되며, 사용자들의 심리를 이용하는 '클릭픽스(ClickFix)' 스타일의 기만을 주요 공격 수단으로 사용하고 있습니다.

공격자들은 웹 브라우저 오류나 미디어 재생 문제 등을 해결해 주겠다는 가짜 랜딩 페이지를 구축한 뒤 피해자를 유인합니다. 이후 정교하게 꾸며진 안내창을 통해 사용자가 스스로 문제 해결 명령어를 복사하고, 명령 프롬프트(cmd)나 PowerShell에 붙여넣어 직접 실행하도록 유도합니다. 이 과정에서 사용자는 감염 사실을 인지하지 못한 채 자신의 시스템에 스스로 악성 명령어를 입력하게 됩니다.

이러한 공격 유형은 보안 솔루션의 탐지를 우회하기 쉬우며, 일단 실행되면 LegionLoader와 같은 로더가 설치되어 추가적인 정보 탈취형 악성코드나 랜섬웨어로 이어질 수 있어 영향 범위가 매우 넓습니다. 따라서 웹사이트에서 오류 해결을 이유로 요구하는 임의의 스크립트나 명령어를 절대 사용자의 시스템에서 복사·붙여넣기 방식으로 실행해서는 안 됩니다.

기업 및 기관의 보안 관리자는 임직원을 대상으로 보안 인식 교육을 실시하여 이러한 사회공학적 기법에 속지 않도록 조치해야 합니다. 또한, 웹 브라우저나 클립보드 연동을 통해 PowerShell 및 cmd 등 시스템 관리 도구가 비정상적으로 호출되는 행위를 모니터링하고 차단할 수 있도록 엔드포인트 탐지 및 대응(EDR) 보안 정책을 강화하는 것이 권장됩니다.