[해외보안뉴스] 수십 년 된 Windows 명령어를 악용한 최신 ClickFix 공격 기법 발견
· 2026-10-25 13:00
· 조회 7
· 원문 ↗
최근 수십 년 된 Windows 기본 유틸리티인 'finger' 명령어를 악용하여 악성코드를 유포하는 새로운 형태의 'ClickFix' 공격 기법이 발견되었습니다. 공격자들은 아마존(Amazon)과 관련된 키워드를 타깃으로 검색 엔진 최적화(SEO) 포이즈닝 기법을 활용해, 구글 검색 결과 상단에 악성 웹사이트를 노출시키는 방식으로 피해자를 유인하고 있습니다.
사용자가 검색 결과를 통해 악성 페이지에 접속하면 실제 로봇 확인 과정처럼 보이는 가짜 캡차(CAPTCHA) 인증 창이 열립니다. 이 공격은 사용자가 화면의 안내에 따라 제공된 파워셸(PowerShell) 코드를 실행 창(Win+R)에 직접 복사해 붙여넣도록 유도하는 ClickFix 방식을 사용합니다. 복사된 명령어가 실행되면 Windows에 기본 내장된 레거시 유틸리티인 finger 명령어가 호출되어 외부 서버로부터 C2 통신을 수행하고, 최종적으로 Lumma stealer와 같은 정보 탈취형 악성코드를 설치합니다.
이 공격은 구글 검색과 아마존이라는 대중적인 브랜드를 도용하고, OS 자체 정상 도구를 활용하는 'LOLBin(Living off the Land Binaries)' 기법을 결합하여 전통적인 보안 탐지를 우회합니다. 일반 사용자가 검색을 통해 쉽게 노출될 수 있어 영향 범위가 넓으며, 감염 시 브라우저에 저장된 자격 증명, 암호화폐 지갑 정보, 개인 데이터 등이 유출되는 심각한 피해를 입을 수 있습니다.
피해를 예방하기 위해서는 웹사이트에서 요구하는 소스 코드나 명령어를 시스템 실행 창이나 파워셸에 절대 직접 붙여넣지 않도록 주의해야 합니다. 또한 기업 보안 관리자는 finger.exe와 같이 현대 네트워크 환경에서 거의 사용되지 않는 불필요한 레거시 유틸리티의 실행을 정책적으로 차단하거나 모니터링을 강화해야 합니다.
finger.exe처럼 까마득한 레거시 유틸리티가 여전히 LOLBin(Living off the Land) 공격 벡터로 악용되는 전형적인 사례네요.시스템 아키텍처 관점에서 사용하지 않는 OS 내장 바이너리는 AppLocker나 WDAC 정책으로 실행을 차단하고, 불필요한 아웃바운드 네트워크를 제한하는 최소 권한 원칙을 엄격히 적용해야 합니다.
개발 및 보안 운영진은 ClickFix처럼 사용자 클립보드를 경유하는 셸 명령 실행 패턴을 상시 모니터링하고, 레거시 도구의 종속성을 제거하는 패치 작업을 조속히 진행해야 합니다.
오래된 레거시 바이너리인
finger.exe와 사회공학적 ClickFix 기법을 조합하여 보안 솔루션의 탐지망을 효과적으로 우회한 공격 형태입니다.사용자가 캡차 해제를 위해 직접 명령어를 복사·붙여넣기하도록 유도하므로, EDR이나 백신의 초기 침투 방어를 무력화하기에 매우 유용한 공격 벡터입니다.
공격자 관점에서 시스템에 기본 탑재된 수십 년 된 Windows 유틸리티는 신뢰된 프로세스로 인식되어, 페이로드를 낙하하는 훌륭한 LotL(Living off the Land) 무기로 지속 재발굴될 것입니다.
오래된 OS 내장 유틸리티(finger.exe)를 악용하는 공격은 레거시 시스템과 기본 보안 정책의 사각지대를 노리는 전형적인 위협입니다. 정교해진 ClickFix 기법과 검색 엔진 피싱에 대응하기 위해 임직원 대상의 보안 인식 교육은 물론, 애플리케이션 제어 정책(AppLocker/WDAC)을 통해 불필요한 레거시 도구의 실행을 즉시 차단해야 합니다. 기술적 통제와 모니터링을 결합한 다층 방어 체계를 재점검하여 조직의 엔드포인트 리스크를 최소화하겠습니다.