[해외보안뉴스] 가짜 Cloudflare 인증 화면으로 LunexStealer 유포하는 해킹 웹사이트 100여 개 발견
· 2026-10-07 08:00
· 조회 36
· 원문 ↗
우크라이나 침해사고대응팀(CERT-UA)이 악성 자바스크립트(JavaScript)가 삽입된 100개 이상의 침해된 웹사이트를 발견했다고 발표했습니다. 공격자들은 정상적인 웹사이트를 해킹한 후 악성 스크립트를 주입하여 방문자의 중요 정보를 탈취하는 악성코드인 'LunexStealer'(일명 Psychedelic Stealer)를 유포하고 있습니다. 이번 공격 활동은 'UAC-0277'로 명명된 위협 그룹의 소관으로 추적되었습니다.
공격자들은 웹사이트 방문자에게 Cloudflare의 정상적인 DDoS 방어 화면이나 사람 확인(Human Verification) 절차처럼 위장한 가짜 보안 점검 페이지를 노출합니다. 이후 '보안 검사 완료' 또는 '로봇이 아님을 증명'하기 위해 특정 명령어나 스크립트를 복사하여 실행하도록 유도하는 방식을 사용합니다. 사용자가 이에 속아 악성 스크립트를 실행하면 LunexStealer가 시스템에 설치되며, 웹 브라우저에 저장된 계정 자격 증명, 세션 쿠키, 암호화폐 지갑 정보 등이 유출되는 피해를 입게 됩니다.
이러한 피싱 및 악성코드 유포 피해를 예방하기 위해서는 웹 페이지에서 요구하는 의심스러운 보안 검사나 명령어 복사·붙여넣기 지시에 절대 응하지 말아야 합니다. 웹사이트 관리자는 자사 서버 내 악성 자바스크립트 삽입 여부를 주기적으로 점검하고 CMS 및 웹 애플리케이션에 최신 보안 패치를 적용해야 합니다. 또한, 일반 사용자와 조직은 엔드포인트 보안 솔루션을 강화하고 터미널 명령어를 통한 스크립트 실행 위험성에 대한 보안 인식 교육을 진행하는 것이 권장됩니다.
웹사이트 내 악성 자바스크립트 삽입을 통한 사회공학적 기법 공격이 증가하고 있어 프론트엔드 단의 강력한 방어선 구축이 시급합니다.
우선 엄격한 CSP(Content Security Policy)를 설정해 허가되지 않은 외부 스크립트의 실행을 차단하고, SRI(Subresource Integrity)를 적극 활용해 스크립트 변조 여부를 상시 검증해야 합니다.
아울러 CI/CD 파이프라인과 소스 코드 무결성 모니터링 체계를 연동하여 소스코드 인젝션 공격 기회를 원천 차단하는 아키텍처적 대응이 필요합니다.
클라우드플레어 인증 화면을 위장한 사회공학적 기법과 웹 스크립트 삽입을 결합하여 보안 경계선을 무력화하는 정교한 워터링 홀 공격입니다. 공격자는 100개 이상의 정상 웹사이트 취약점을 악용해 악성 JS를 심은 뒤, 사용자가 익숙한 보안 검사 창에서 의심 없이 악성 페이로드를 실행하도록 유도했습니다. 신뢰받는 보안 브랜드의 UI를 도용한 클라이언트 측 공격 벡터는 탐지 솔루션을 우회해 초기 침투 교두보를 마련하는 데 매우 위협적이고 효과적입니다.
사용자에게 익숙한 보안 검증(Cloudflare) 화면을 위장한 정보 탈취형 악성코드(Stealer) 공격은 임직원의 경각심을 무력화하여 기업 계정 유출로 직결되는 치명적인 리스크입니다.
단순 웹 서핑만으로도 자격 증명이 위협받을 수 있으므로 브라우저 보안 정책 및 단말(EDR) 통제를 즉시 강화해야 합니다.
또한, 유출된 계정이 2차 침해 사고로 이어지지 않도록 MFA(다중인증) 체계와 내부 자산 접근 권한을 엄격히 재점검하겠습니다.