2025년 8월, 이스라엘 국립 디지털 기관 연구원들은 ClickFix 기법을 활용하는 대규모 사이버 범죄 캠페인이 진행 중임을 발견했습니다. 이 캠페인은 가짜 Cloudflare 또는 Google CAPTCHA 페이지를 사용하여 피해자들이 손상된 워드프레스 웹사이트를 통해 악성 명령을 실행하도록 속입니다.
회고적 분석에 따르면 이 캠페인은 최소 지난 1년간 활동해 왔으며 전 세계 수천 개의 조직에 영향을 미칠 잠재력이 있습니다. 분석 결과, 악성 자바스크립트가 삽입되어 공격자 제어 인프라로 리디렉션되는 100개 이상의 손상된 워드프레스 사이트와 여러 계열 및 변종에 걸친 수백 개의 악성코드 샘플이 발견되었습니다.
우리가 ShadowCaptcha라고 명명한 이 캠페인은 사회 공학, LOLBins(Living-off-the-land binaries), 다단계 페이로드 전달을 혼합하여 대상 시스템에 발판을 마련하고 유지합니다. ShadowCaptcha의 궁극적인 목표는 자격 증명 수집 및 브라우저 데이터 유출을 통한 민감한 정보 수집, 불법 수익 창출을 위한 암호화폐 채굴기 배포, 심지어 랜섬웨어 확산까지 포함합니다. 이러한 전술의 조합은 사회 공학, 은밀한 지속성, 데이터 도난 및 암호화폐 채굴을 통한 수익 창출을 혼합한 기회주의적 재정 동기 운영으로서의 성격을 강조합니다.
탐지되지 않을 경우, ShadowCaptcha는 내부 시스템에 대한 장기간의 무단 액세스, 성능 저하 및 운영 비용 증가를 초래하는 지속적인 암호화폐 채굴, 평판 손상, 규제 위반 및 재정적 손실로 이어질 수 있는 대규모 민감 데이터 유출을 초래할 수 있습니다. 이 캠페인의 기회주의적 특성은 규모나 부문에 관계없이 인터넷에 노출된 모든 조직이 잠재적인 표적이 될 수 있음을 의미합니다.
이 캠페인의 규모와 적응성을 고려할 때, 위험을 줄이고 향후 사고를 방지하기 위해 이 보고서에 자세히 설명된 TTP를 대상으로 하는 탐지 및 예방 규칙을 생성하고, 최종 사용자를 위한 인식 교육을 통해 더 광범위한 ClickFix 사회 공학 기법을 인식하고 피하도록 권장합니다.
