[해외보안뉴스] 해킹된 우크라이나 웹사이트, 가짜 Cloudflare 인증으로 신종 Psychedelic 악성코드 유포
· 2026-09-24 16:00
· 조회 23
· 원문 ↗
우크라이나의 정상적인 기업 웹사이트들이 해킹되어 방문자에게 가짜 Cloudflare 보안 검증 페이지를 노출하는 보안 침해 사례가 발견되었습니다. 공격자들은 합법적인 웹사이트의 권한을 악용하여 사용자를 속이고, 최근 새롭게 발견된 신종 정보 탈취형 악성코드(Stealer)인 'Psychedelic'을 유포하고 있는 것으로 나타났습니다.
이번 공격에는 최근 유행하는 사회 공학적 기법인 'ClickFix' 방식이 사용되었습니다. 가짜 Cloudflare 검증 페이지는 사용자에게 사람이 직접 접속한 것인지 확인하는 과정이라고 속이며 특정 버튼을 클릭하도록 유도합니다. 이때 사용자의 클립보드에 악성 Windows Installer 명령어 코드가 자동으로 복사되며, 페이지 안내에 따라 사용자가 실행 창(Win+R) 등에 이를 붙여넣고 실행하면 Psychedelic 악성코드가 시스템에 다운로드되어 실행됩니다.
Psychedelic은 이전에 보고되지 않았던 신종 인포스틸러 악성코드로, 감염된 컴퓨터에서 웹 브라우저에 저장된 계정 정보, 암호화화폐 지갑 데이터, 시스템 자격 증명 등 민감한 정보를 수집하여 공격자의 서버로 탈취하는 기능을 수행합니다. 신뢰할 수 있는 지역 기업 웹사이트가 유포지로 악용되었기 때문에 일반 방문자들의 감염 위험이 높습니다.
이러한 ClickFix 형태의 공격을 방지하기 위해서는 웹사이트 검증을 빌미로 클립보드 복사나 명령어 실행(Win+R 및 터미널 붙여넣기)을 요구하는 안내에 절대 응하지 않도록 주의해야 합니다. 또한, 웹사이트 관리자는 관리자 계정의 자격 증명을 강화하고 웹 애플리케이션의 취약점을 점검하여 악성 스크립트가 삽입되지 않도록 모니터링을 지속해야 합니다.
브라우저 샌드박스를 직접 뚫기 어려우니, 클립보드 조작과 사용자 행동을 유도해 OS 레벨 명령어(
msiexec등)를 실행시키는 치명적인 사회 공학적 공격 기법입니다.웹 개발자 관점에서는 자사 사이트가 악성 스크립트의 유포지가 되지 않도록 엄격한 CSP(Content Security Policy) 적용과 제3자 스크립트에 대한 무결성 검증(SRI)을 강화해야 합니다.
또한 엔드포인트 아키텍처 측면에서도 일반 사용자의 스크립트 기반 설치 명령 실행을 제한하는 최소 권한 원칙(Zero Trust) 정책이 선행되어야 합니다.
ClickFix 기법은 브라우저 취약점 없이 오직 심리적 허점과 클립보드 조작만으로 초기 침투(Initial Access)를 성공시키는 매우 치명적인 공격 벡터입니다.
사용자에게 익숙한 Cloudflare 보안 검증 화면을 위장해 'Win+R' 실행 창으로 악성 명령어를 직접 실행하도록 유도함으로써, 기존의 웹 및 백신 보안 솔루션을 손쉽게 우회합니다.
레드팀 침투 테스트 관점에서도 복잡한 엑스플로잇 없이 높은 성공률로 신종 인포스틸러를 드롭할 수 있는 고효율 공격 시나리오입니다.
유명 브랜드를 도용한 ClickFix 기법은 기존 웹 보안 솔루션을 우회하고 사용자가 직접 악성 코드를 실행하도록 유도하여 조직의 정보 유출 리스크를 극대화합니다.
이에 대응해 임직원이 보안 검증을 가장한 명령어 실행 요구에 속지 않도록 최신 사회공학 기법에 대한 보안 인식 교육을 강화하겠습니다.
또한, 엔드포인트(EDR) 관점에서 일반 사용자의 권한 없는 스크립트 실행 및 터미널 도구 사용을 제한하는 최소 권한 정책을 엄격히 적용하겠습니다.