"인증하려면 Win+R을 누르세요": TerminalFix가 노린 건 브라우저가 아니라 사람이었다

이미지 출처: The Hacker News

페이지 하나가 뜹니다. 익숙한 주황색 로고, 익숙한 "사람인지 확인하는 중" 문구. 그런데 이번엔 체크박스가 없어요. 대신 "확인을 완료하려면 Win+R을 누르고 Ctrl+V, Enter를 눌러주세요"라는 안내가 뜹니다. 여기서 손이 먼저 움직인 사람과, 잠깐 멈춘 사람. TerminalFix라는 이름이 붙은 이번 캠페인은 정확히 그 0.5초의 차이를 노렸습니다.

핵심 요약

• 가짜 Cloudflare 인증 화면으로 사용자가 직접 악성 명령을 복사·실행하게 만드는 ClickFix 계열 초기침투 기법임
• 최종 목적은 정상 터널링 서비스를 악용한 리버스 터널 백도어로, 아웃바운드 연결만 쓰기 때문에 방화벽 인바운드 정책을 그대로 우회함
• 방어 지점은 페이로드가 아니라 실행 경로에 있음 — RunMRU 레지스트리, explorer.exe의 자식 프로세스, 터널 도메인 아웃바운드가 핵심 탐지 포인트임

왜 하필 CAPTCHA 화면일까요

이 수법이 무서운 건 기술적으로 정교해서가 아닙니다. 오히려 반대예요. 익스플로잇도, 취약점도 필요 없습니다. 사용자가 스스로 관리자 없이도 실행 가능한 명령을 자기 손으로 붙여넣기 때문이죠. 첨부파일 실행이나 매크로 허용은 요즘 사람들이 꽤 경계하는데, "인증 절차"라는 포장은 아직 의심의 문턱이 낮습니다. 게다가 진짜 Cloudflare 인증 화면을 하루에도 몇 번씩 보는 게 요즘 웹이잖아요. 학습된 습관을 그대로 무기로 쓴 겁니다.

흐름 자체는 이렇게 요약됩니다.

• 침해된 정상 사이트나 광고·검색 결과를 통해 가짜 인증 페이지로 유도함
• 페이지의 스크립트가 사용자 몰래 클립보드에 명령 문자열을 심어둠. 화면에 보이는 안내문과 실제 클립보드 내용은 다를 수 있음
• 사용자가 실행창에 붙여넣으면 스크립트 호스트나 셸이 외부에서 후속 단계를 내려받아 실행함
• 최종 단계에서 원격 접근 채널이 열리고, 서비스·예약 작업 등으로 지속성을 확보함

여기서 페이로드 자체를 파고드는 건 방어에 큰 도움이 안 됩니다. 문자열은 캠페인마다 바뀌지만, "사람의 손을 빌린다"는 구조는 안 바뀌거든요.

리버스 터널이 골치 아픈 이유

백도어라고 하면 보통 "공격자가 우리 쪽으로 들어온다"는 그림을 떠올리는데, 리버스 터널은 방향이 반대입니다. 감염된 단말이 밖으로 443 포트 연결을 하나 열고, 그 연결 위에 원격 셸이나 RDP 세션을 얹어요. 경계 방화벽 입장에서는 그냥 사용자가 HTTPS 사이트에 접속한 것과 구분이 잘 안 갑니다. NAT 뒤에 있든 인바운드가 전부 막혀 있든 상관이 없죠.

더 얄미운 건 이런 터널이 대체로 정상 서비스나 오픈소스 도구를 그대로 가져다 쓴다는 점입니다. 개발자들이 로컬 서버를 외부에 잠깐 노출할 때 쓰는 그 도구들이요. 서명도 멀쩡하고, 평판 기반 탐지에도 안 걸리고, 심지어 사내 개발팀이 정말로 쓰고 있을 수도 있습니다. 그러니까 "이 바이너리가 있으면 악성"이라는 판단이 안 통해요. 봐야 하는 건 누가, 어떤 부모 프로세스 아래에서, 어떤 인자로 띄웠는가입니다.

탐지: 어디를 봐야 할까요

개인적으로는 이 계열을 잡을 때 페이로드보다 실행 흔적부터 훑는 걸 추천해요. 순서대로 정리하면 이렇습니다.

• RunMRU 레지스트리: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU에 실행창 입력 이력이 남음. 여기에 셸·스크립트 호스트 문자열이 박혀 있으면 사실상 확정적인 증거임
• 부모-자식 관계: explorer.exe가 부모인 powershell.exe, mshta.exe, cmd.exe, curl.exe 생성 이벤트. 정상 업무에서 이 조합이 나올 일은 많지 않음
• 인코딩된 명령줄: base64·문자열 결합·비정상적으로 긴 인자. PowerShell ScriptBlock 로깅(4104)이 켜져 있어야 보임
• 아웃바운드 터널 도메인: 프록시·DNS 로그에서 임시 터널 도메인, 무료 터널 서비스 서브도메인으로 향하는 장시간 유지되는 세션. 세션 지속 시간과 업/다운 비대칭이 좋은 지표임
• 지속성 흔적: 최근 생성된 서비스, 예약 작업, Run 키, 시작 폴더 항목

완화: 실행 경로를 먼저 끊읍시다

탐지도 중요하지만, 이 기법은 특이하게도 사전 차단이 꽤 잘 먹히는 편입니다. 사용자 손을 반드시 거쳐야 하는 구조라서 그 손을 막으면 체인이 끊기거든요.

• 일반 사용자 그룹에 한해 그룹 정책으로 실행창(Win+R) 사용을 제한하는 방안 검토
• mshta.exe, wscript.exe 등 잘 안 쓰는 스크립트 호스트를 애플리케이션 제어(WDAC·AppLocker)로 차단
• PowerShell 제한된 언어 모드 적용 + 스크립트 블록 로깅 상시 활성화
• EDR의 공격 표면 축소 규칙 중 "Office/스크립트가 생성한 자식 프로세스 차단" 계열 활성화
• 업무상 필요 없는 터널링 서비스 도메인은 프록시에서 카테고리 단위로 차단
• 사용자 교육 한 줄: 정상적인 CAPTCHA는 절대 명령어를 복사해 붙여넣으라고 하지 않음

마지막 항목을 제일 강조하고 싶어요. 기술적 통제는 예외 처리하다 보면 구멍이 생기는데, "인증하는데 왜 터미널을 켜?"라는 감각은 한 번 심어두면 꽤 오래갑니다. 실제로 이런 화면을 캡처해서 사내 공지에 그대로 붙여두는 게 장문의 보안 수칙보다 효과가 좋았던 경우가 많았습니다.

이미 눌러버렸다면

만약 누군가 이미 실행했다고 신고해 왔다면, 순서는 이렇습니다. 먼저 네트워크에서 격리하고, 그다음에 종료하세요. 급한 마음에 전원부터 내리면 메모리에만 있던 흔적이 날아갑니다. 이후 RunMRU와 프로세스 생성 로그로 실행 시각을 특정하고, 그 시각 이후의 아웃바운드 세션을 역추적하면 터널 목적지가 나올 가능성이 높습니다. 그리고 해당 단말에 저장돼 있던 자격증명은 전부 유출된 것으로 간주하고 재발급하는 게 안전합니다. 리버스 터널이 열려 있던 시간이 짧아도, 브라우저 저장 비밀번호와 토큰을 긁어가는 데는 몇 분이면 충분하니까요.

가짜 CAPTCHA는 앞으로도 계속 모습을 바꿔가며 나올 것 같습니다. 인증 화면이라는 포장지가 워낙 효율이 좋으니까요. 그래도 우리가 볼 지점은 크게 안 변합니다. 실행창 흔적, 이상한 부모-자식 관계, 그리고 밖으로 나가는 조용한 터널. 이 세 가지만 대시보드에 올려두어도 절반은 막을 수 있다고 봅니다. 여러분 조직에서는 어떤 지표로 잡고 계신지, 댓글로 공유해 주시면 저도 배우겠습니다. 같이 다듬어 보아요!