마이크로소프트: BNB 체인 스마트 계약을 악용해 악성 코드를 숨기는 새로운 공격 활동 발견, 전 세계 수천 대의 기기에 영향

BlockBeats 뉴스, 8월 7일, 마이크로소프트 위협 인텔리전스 팀은 성명을 통해 침해된 웹사이트들이 ClickFix 및 TerminalFix를 이용해 공격을 유도하고, EtherHiding 기술을 결합해 BNB Smart Chain RPC 게이트웨이를 통해 스마트 계약에 접근하여 다음 단계의 악성 명령을 획득하고 있다고 밝혔다. 악성 콘텐츠가 체인 상의 스마트 계약에 저장되어 있어, 해당 계약을 배포한 지갑 소유자만 수정할 수 있으므로 전통적인 삭제나 차단 방식으로 제거하기 어렵다.

마이크로소프트는 공격자가 위조된 CAPTCHA 인증 페이지를 만들어 사용자가 Windows '실행' 창이나 Terminal, PowerShell을 열고 악성 명령을 붙여넣어 실행하도록 유도한다고 지적했다. 공격 과정에서 conhost, PowerShell, mshta, rundll32, curl, WMI, WebDAV 등 시스템 도구를 광범위하게 사용해 혼란을 일으키고 'Living-off-the-Land' 공격을 수행한다.

마이크로소프트는 ClickFix와 TerminalFix가 높은 빈도의 초기 침입 수단이 되어 매일 전 세계 수천 대의 기업 및 개인 기기에 영향을 미치며, 여러 공격 조직이 이를 통해 Lumma Stealer, Xworm, AsyncRAT, MintsLoader 등 악성 소프트웨어를 유포하고, 나아가 자격 증명 유출, 횡적 이동 및 랜섬웨어 공격으로 이어질 수 있다고 밝혔다. 마이크로소프트는 사용자가 CAPTCHA, 웹페이지 오류 메시지, 이메일 또는 광고 안내에 따라 Windows '실행', Terminal, PowerShell 또는 명령 프롬프트에 명령을 붙여넣어 실행하지 말 것을 권고한다.