무료 이미지 편집 도구가 실제로 위험한 악성코드일 수 있다는 경고

^{source https://www.techradar.com/}

• 검색 결과 상단에 노출된 가짜 사진 편집 도구가 ClickFix 전술로 사용자를 속여 악성코드를 직접 실행하게 만듦.

• 피해자는 먼저 CastleLoader에 감염되고, 이어 NetSupport RAT와 커스텀 CastleStealer가 설치됨.

• 이번 캠페인은 SEO poisoning과 사회공학이 얼마나 쉽게 단순 작업을 자격 증명 탈취와 원격 침해로 바꿔버리는지 보여줌.

• 셀피 배경을 지워준다고 내세운 웹사이트가 실제로는 사용자의 PC에 정보 탈취형 악성코드를 심음.

• Huntress는 이 사례를 공개하면서, 이 사이트가 SEO poisoning으로 검색 결과 상단까지 올라왔고 배경 제거 도구를 찾는 사용자가 악성 사이트로 유입될 가능성이 크다고 짚음.

• 사용자가 사진을 이 서비스에 업로드해도 실제 처리는 일어나지 않음.

  • 사진이 업로드되거나 외부로 공유되지도 않음.

  • 대신 사이트가 "사람인지 확인"하라며 Windows Run을 열고, 클립보드에 복사된 명령어를 붙여넣으라고 유도함.

CastleLoader, CastleStealer, 그리고 NetSupport RAT

• 전형적인 ClickFix 흐름처럼, 공격자는 피해자 스스로 악성코드를 실행하게 만들고 첫 단계로 CastleLoader를 심음.

  • CastleLoader는 추가 페이로드를 내려보내는 메인 로더 역할.

• CastleLoader를 발판으로 2단계 악성코드가 설치됨.

  • NetSupport RAT

  • CastleStealer

• NetSupport RAT는 감염된 시스템에 대한 원격 접근 권한을 공격자에게 넘겨줌.

• CastleStealer는 커스텀 .NET 스틸러로, 브라우저 자격 증명, 암호화폐 지갑 데이터, Discord 토큰, Telegram 세션 파일을 노림.

• "셀피 배경을 지우려던 일이 결국 브라우저 비밀번호, 암호화폐 지갑 보관함, Telegram 세션을 뒤지는 커스텀 .NET 스틸러와 후속 접근용 NetSupport RAT 드롭으로 끝날 수 있음."

• ClickFix 공격은 사용자 교육으로 완화 가능.

  • 정상 서비스라면 로컬 프로그램 실행 같은 기기 내 동작으로 봇 여부를 검증하라고 요구하지 않음을 사용자가 알아야 함.

• 관리자 측 방어도 가능.

  • Win + R 단축키로 Run을 여는 기능을 비활성화하면 피해자가 악성 코드를 실행할 가능성을 낮출 수 있음.