[해외보안뉴스] ClickFix 기법으로 유포되는 신종 ChainScript RAT, Polygon 블록체인 활용해 C2 서버 은폐
· 2026-09-21 09:00
· 조회 26
· 원문 ↗
위협 자그들이 'ClickFix' 방식의 사회공학적 유인책을 활용하여 지금까지 보고되지 않은 신종 원격 제어 악성코드(RAT)인 'ChainScript'를 유포하고 있는 정황이 포착되었습니다. 보안 업체 블랙포인트 APG(Blackpoint Adversary Pursuit Group)의 분석에 따르면, ChainScript는 추적과 차단을 회피하기 위해 Polygon 블록체인을 활용해 C2(명령 제어) 인프라 주소를 동적으로 교체하는 고도화된 수법을 사용하는 것으로 나타났습니다.
이 악성코드는 사용자들에게 인지도가 높은 Spotify, Zoom Workplace, Microsoft Teams 등의 정상적인 소프트웨어로 위장하여 감염을 유도합니다. 분석 과정에서 ComponentTask33, UpdateDigital, HostShared, OrchidViolet66 등 다양한 빌드 명칭으로 발견되었으며, 웹 브라우저 오류 해결 등을 명목으로 사용자가 직접 파워셸(PowerShell) 스크립트나 악성 명령어를 실행하도록 속이는 ClickFix 기법을 적극적으로 활용하고 있어 사용자들의 각별한 주의가 요구됩니다.
이러한 위협에 대응하기 위해서는 출처가 불분명한 웹사이트나 팝업 창에서 안내하는 명령어를 윈도우 실행 창이나 터미널에 복사·붙여넣기 하지 않는 보안 수칙을 준수해야 합니다. 또한 조직 차원에서는 사용자 단말의 파워셸 및 스크립트 실행 권한을 최소화하고, EDR(엔드포인트 탐지 및 대응) 솔루션을 통해 암호화폐 블록체인 네트워크와의 이상 통신 및 불법 스크립트 실행 동작을 실시간으로 감시·차단해야 합니다.
블록체인을 C2 주소 로테이션에 악용하는 방식은 기존 네트워크 기반(IP/도메인) 차단 정책을 무력화하므로, 엔드포인트 수준의 행위 기반 탐지 아키텍처로의 전환이 필수적입니다. 특히 정상 소프트웨어로 위장한 악성 바이너리를 막기 위해 애플리케이션의 엄격한 코드 서명(Code Signing) 검증과 샌드박싱이 강화되어야 합니다. 개발자 관점에서는 ClickFix 공격의 단초가 되는 앱 내 불필요한 OS 쉘(Shell) 명령어 실행 및 자식 프로세스 생성 로직을 최소화하는 방어적 프로그래밍이 시급합니다.
ClickFix 기법에 Zoom, Teams 같은 필수 협업 앱 위장을 더한 조합은 초기 침투(Initial Access) 성공률을 극대화하는 매우 위협적인 공격 벡터입니다. 특히 Polygon 블록체인을 활용해 C2 인프라를 지능적으로 순환시키는 방식은 방어팀의 IP/도메인 차단 정책을 완전히 무력화할 수 있습니다. 사회공학적 기법과 탈중앙화 인프라가 정교하게 결합된 사례로, 레드팀 관점에서도 모의 침투 시나리오에 응용할 가치가 높은 공격 모델입니다.
Zoom, Teams 등 익숙한 업무용 협업 툴을 사칭한 ClickFix 공격과 블록체인 기반 C2 우회 기법의 결합은 기존 네트워크 중심의 방어 체계를 무력화하는 심각한 리스크입니다.
이에 대응하기 위해 단말 내 임의 스크립트 실행을 제한하는 엔드포인트 통제 정책(AppLocker, WDAC 등)을 즉시 강화해야 합니다.
기술적 통제를 넘어 최신 사회공학적 유인책에 대응하는 임직원 보안 인식 교육과 Zero Trust 기반의 행동 분석 모니터링 체계 재정비가 시급합니다.