「ClickFix」 공격 업그레이드: 해커가 VC를 가장하여 브라우저 플러그인을 납치하여 암호화 자산을 탈취함

BlockBeats 뉴스에 따르면, 3 월 3 일, 네트워크 보안 기관 Moonlock Lab이 보고서를 발표했습니다. 해당 보고서에 따르면, 최근 암호화폐 해커들이 'ClickFix' 공격 기술을 업그레이드했으며, 벤처 투자 기관을 가장한 뒤 소셜 플랫폼을 통해 대상 사용자들에게 접촉하고, 그들로 하여금 악성 코드를 실행하도록 유도하여 암호화폐 자산을 탈취하기 시작했다고 합니다.

공격자들은 SolidBit, MegaBit, Lumax Capital 등 가짜 벤처 기관으로 위장하여 LinkedIn을 통해 협업 초대장을 보내고, 피해자들을 위조된 Zoom 또는 Google Meet 모임 링크로 유도합니다. 해당 페이지에는 가짜 Cloudflare '나는 로봇이 아닙니다' 확인 버튼이 삽입되어 있으며, 클릭하면 악의적인 명령이 클립 보드로 복사되어 터미널에 붙여넣기하도록 유도됩니다. 이러한 과정을 통해 공격이 완료되며, 연구원들은 해당 방법이 '피해자가 직접 명령을 실행하도록 유도함'으로써 전통적인 보안 방어 메커니즘을 회피한다고 지적했습니다.

한편, 해커들은 브라우저 확장 프로그램을 탈취하는 공격도 진행하고 있습니다. 네트워크 보안 회사 Annex Security의 설립자인 John Tuckner는, Chrome 확장 프로그램 QuickLens가 지난 2 월 1 일 소유권을 변경한 후 2 주 후에 악성 스크립트가 포함된 새 버전을 출시했으며, ClickFix 공격을 일으키고 사용자 데이터를 탈취했다고 밝혔습니다. 해당 확장 프로그램은 약 7,000 명의 사용자가 사용하고 있으며 현재 스토어에서 내려갔다고 합니다.

보고서에 따르면, 탈취된 확장 프로그램은 암호화 지갑 데이터 및 니모닉을 스캔하고 Gmail 이메일 내용, YouTube 채널 데이터, 웹사이트 로그인 또는 결제 정보를 그랩합니다.