[해외보안뉴스] 브라우저 캐시로 페이로드 은닉해 Windows 실행 제한 우회하는 신종 ClickFix 공격 발견
· 2026-10-06 11:00
· 조회 23
· 원문 ↗
최근 탈취된 웹사이트를 악용하여 사용자가 브라우저 캐시에 저장된 악성 페이로드를 직접 실행하도록 유도하는 신종 ClickFix 공격 기법이 발견되었습니다. 기존의 ClickFix 공격이 원격 서버에서 악성 페이로드를 직접 다운로드하고 실행하는 패턴을 보였던 것과 달리, 이번 기법은 웹 브라우저의 캐시 시스템을 은닉 장소로 활용하는 것이 특징입니다.
마이크로소프트 위협 인텔리전스(Microsoft Threat Intelligence) 팀에 따르면, 공격자들은 침해된 웹사이트를 통해 PNG 이미지 파일로 위장한 스크립트 페이로드를 웹 브라우저 캐시에 미리 로드(Pre-fetch)합니다. 이후 사회공학적 기법을 통해 사용자가 Windows 실행(Run) 대화상자나 명령 프롬프트에 특정 명령어를 입력하도록 유도하며, 이 과정에서 캐시된 스크립트가 실행되어 Windows의 기존 실행 제한 조치 및 원격 파일 다운로드 탐지 시스템을 우회하게 됩니다.
이러한 공격 유형은 보안 솔루션의 파일 다운로드 모니터링을 회피하므로 개인 사용자 및 기업 네트워크 전반에 위협이 될 수 있습니다. 피해를 예방하기 위해서는 웹사이트의 안내에 따라 Windows 실행 창이나 PowerShell에 출처가 불분명한 코드를 복사·붙여넣기 하지 않도록 사용자 보안 인식 교육을 강화해야 합니다. 또한, 조직의 보안 담당자는 엔드포인트 모니터링을 강화하여 브라우저 캐시 경로에서 발생하는 의심스러운 스크립트 실행 행위를 탐지하고 차단해야 합니다.
♥ 추천 0
네트워크 모니터링이나 파일 확장자 기반의 정적 탐지 라인을 완벽히 우회하는 교묘한 기법이네요.
웹 애플리케이션 레벨의 MIME 타입 검증 강화도 필요하지만, 근본적으로는 OS 아키텍처 차원에서 브라우저 캐시 경로(
AppData\Local\...) 내 파일의 터미널 스크립트 실행을 차단하는 WDAC/AppLocker 정책 설정이 필수적입니다.이제는 개발 및 인프라 설계 시 클라이언트의 모든 브라우저 스토리지 영역을 '신뢰할 수 없는(Untrusted) 구간'으로 전제하고 실행 권한을 격리해야 합니다.
원격 페이로드 직접 다운로드 시 발생하는 MOTW(Mark of the Web) 부여나 네트워크 탐지를 브라우저 캐싱으로 완벽히 우회하고 있네요. 정상 이미지(PNG)로 위장해 미리 캐시를 확보해 두면, 실행 시점에 추가 네트워크 트래픽이 발생하지 않아 EDR 및 보안 솔루션의 탐지망을 기만하기 매우 유리합니다. ClickFix 특유의 높은 사회공학적 성공률과 결합된 만큼, 레드팀 수행 시 초기 침투(Initial Access) 단계에서 대단히 유용한 공격 벡터가 될 것입니다.
이미지 파일로 위장해 브라우저 캐시를 악용하는 이번 공격은 기존의 네트워크 경계 보안과 파일 다운로드 통제를 무력화하는 심각한 리스크입니다. 이에 대응해 단말(EDR) 차원의 캐시 경로 내 스크립트 실행 탐지 룰을 즉시 재정비하고 브라우저 중앙 관리 정책을 강화해야 합니다. 아울러 기술적 통제를 우회하는 ClickFix 특성을 고려해, 임직원 대상의 사회공학적 공격 대응 교육을 보안 거버넌스 항목으로 지정하고 지속적으로 강화하겠습니다.