[해외보안뉴스] 구글 스폰서 광고로 위장한 커스텀 ChatGPT, ClickFix 기법으로 RAT 악성코드 유포
· 2026-09-29 21:00
· 조회 20
· 원문 ↗
최근 구글 검색의 스폰서 광고를 악용하여 맞춤형 ChatGPT(Custom ChatGPT) 서비스로 위장한 후, 'ClickFix' 사회공학적 공격 기법을 통해 원격 제어 악성코드(RAT)를 유포하는 캠페인이 발견되었습니다. 공격자들은 사용자들의 신뢰를 얻기 위해 정상적인 AI 도구처럼 보이는 가짜 웹사이트로 유인한 뒤 시스템 감염을 시도하고 있습니다.
이번 공격에 사용된 'ClickFix' 기법은 웹사이트 방문자에게 브라우저 오류 해결이나 로봇 확인(CAPTCHA) 절차를 빙자하여, 사용자가 직접 실행 창(Win+R)을 열고 악성 파워쉘(PowerShell) 코드를 복사·붙여넣기하도록 유도합니다. 사용자가 이에 속아 코드를 실행하면 컴퓨터에 RAT 악성코드가 즉시 설치됩니다. 이를 통해 공격자는 피해자 시스템을 원격으로 제어하고, 저장된 자격 증명과 민감한 데이터를 탈취하는 등 심각한 권한 침해를 일으킬 수 있습니다.
이러한 피해를 예방하기 위해서는 구글 검색 결과 상단에 표시되는 '스폰서(Sponsored)' 링크를 클릭할 때 출처 URL을 반드시 확인해야 하며, 가능한 한 OpenAI의 공식 웹사이트를 통해 직접 접속하는 것이 안전합니다. 또한, 웹페이지에서 파워쉘이나 명령 프롬프트에 특정 코드를 복사하여 실행하라는 안내가 나올 경우 절대로 응하지 말아야 합니다. 기업과 개인은 백신 프로그램을 최신 버전으로 유지하고 광고 차단 확장 프로그램을 활용하는 것을 권장합니다.
♥ 추천 0
ClickFix 공격은 클립보드를 통해 악성 셸 스크립트를 터미널에서 직접 실행하도록 유도하므로, 개발 환경 내 OS 수준의 PowerShell 실행 정책(
ExecutionPolicy) 강화와 AppLocker/WDAC 적용이 필수적입니다. 또한 개발자는 터미널 및 IDE의 '클립보드 붙여넣기 경고' 옵션을 반드시 활성화하고 셸 명령어를 무검증 실행하는 습관을 지워야 합니다. 서비스 아키텍처 관점에서도 커스텀 GPT 등 외부 AI 연동 시 출력되는 링크에 대한 도메인 화이트리스트 검증 및 사용자 경고 UI를 선제적으로 구현해야 합니다.구글 검색 광고와 AI 브랜드 신뢰도를 악용한 전형적이면서도 지능적인 초기 침투(Initial Access) 벡터입니다.
특히 'ClickFix' 기법은 오류 해결을 명목으로 사용자가 직접 파워쉘 스크립트를 복사·실행하게 만듦으로써, EDR이나 브라우저의 1차 행위 탐지를 손쉽게 우회할 수 있습니다.
AI 도구 활용이 빈번한 기업 환경을 타깃으로 삼을 경우, 단시간 내에 임직원 PC를 감금하고 내부망 침투를 위한 RAT 권한을 확보하기에 악용 가능성이 매우 높습니다.
임직원의 생성형 AI 활용 급증 속에서 승인되지 않은 AI 도구(Shadow AI)와 검색 광고를 악용한 RAT 악성코드 유포 위협이 현실화되고 있습니다.
사용자 심리를 이용한 ClickFix 기법은 기존 기술적 방어망을 우회하기 쉬우므로, 사내 공식 AI 플랫폼만 허용하는 명확한 이용 정책 수립과 임직원 보안 인식 교육이 시급합니다.
조직 차원에서는 웹/DNS 필터링 정책을 강화하고 EDR 기반의 실시간 모니터링 체계를 고도화하여 단말 점령에 따른 기업 데이터 유출 리스크를 선제적으로 차단해야 합니다.