Steam 포럼의 ClickFix: 악성 PowerShell 명령이 암호화폐 채굴기를 설치하는 방법

올해 ClickFix 공격이 실제로 급증했습니다. 범죄자들 사이에서 큰 인기를 끌고 있어 한 변종에 대해 글을 다 쓰기도 전에 다음 변종을 다뤄야 할 정도입니다.

이번에 공격자들은 게이머를 노리고 있습니다. 기술 전문 기자들이 Steam 포럼에서 악성 팁을 유포하는 게시물을 발견했습니다. 이러한 게시물이 어떤 모습인지, 어떤 악성 코드를 퍼뜨리는 데 사용되는지, 그리고 장치를 안전하게 지키는 방법을 알아보겠습니다.

Steam 포럼으로 흘러든 ClickFix

많은 게이머가 퀘스트 공략, 레벨업, 최고 전리품 획득 또는 버그 해결과 같은 도움과 조언을 얻기 위해 Steam 포럼의 동료 플레이어들을 찾습니다. 공격자들은 바로 이러한 커뮤니티 조언에 대한 신뢰를 악용하기로 했습니다.

공격은 범죄자들이 게임 충돌, 인벤토리 아이템 소실 또는 기타 기술적 문제에 대한 누군가의 질문에 답변하면서 시작됩니다. 도움이 되는 댓글 작성자인 척하며, 사용자가 겪고 있는 문제를 해결해 준다며 PowerShell을 관리자 권한으로 열고 특정 명령어를 실행하라고 제안합니다.

게시물을 문제 해결 조언으로 위장하여, 악성 행위자는 PowerShell을 관리자 권한으로 실행하고 사용자의 문제를 해결해 준다는 명령어를 실행하도록 제안합니다. 출처

짐작하시겠지만, 명령어를 실행해도 아무것도 해결되지 않습니다. 오히려 새로운 문제만 일으킬 뿐입니다. 이것이 바로 ClickFix의 핵심 아이디어입니다. 사회 공학 기법을 사용하여 피해자가 직접 안전하지 않은 행동을 하도록 속이면서, 사기꾼에게는 장치를 해킹하는 데 필요한 권한을 부여하는 것입니다. 이전에도 가짜 CAPTCHA, 허위 브라우저 오류 등 피해자가 스스로 악성 명령어를 실행하게 만드는 다양한 ClickFix 수법을 다룬 적이 있습니다. ClickFix 공격의 다양한 변종에 대한 자세한 내용은 이전 게시물에서 확인할 수 있습니다.

Steam 포럼에서 ClickFix를 사용하는 교묘함은 이 공격이 도움을 요청한 플레이어뿐만 아니라, 동일한 문제를 겪고 Google 검색을 통해 답변을 찾은 다른 많은 게이머에게도 피해를 줄 수 있다는 점에 있습니다.

기초 지식: irm | iex 명령어 뒤에 숨겨진 실체

공격자들이 이런 방식으로 게이머에게 실제로 무엇을 설치하도록 속이는지 알아보기 전에, 몇 가지 기술적 배경을 살펴볼 필요가 있습니다. 먼저, Steam 포럼의 게시물은 의심하지 않는 예비 피해자들에게 PowerShell에서 다음 명령어를 실행하라고 조언합니다.