- 신규 LaaS 등장: 러시아 연루 추정 DOUBLECUP 로더-as-a-서비스가 ClickFix 사회공학과 브라우저 캐시 PNG 스테가노그래피를 결합한 이단계 체인을 운용 중임
- 최종 페이로드: 기존 CountLoader와 함께 선례가 문서화되지 않은 신규 RAT DeviceManager가 배포되며 위협 추적 관점에서 주목 필요
- 탐지 함의: 파일형 페이로드 없이 캐시 자원을 악용해 파일 기반 EDR 룰을 우회할 수 있어 캐시 모니터링과 행동 기반 탐지 강화가 요구됨
사회공학과 스테가노그래피를 결합한 이단계 우회 체인은 시그니처 중심 탐지 체계의 사각지대를 드러낸다. 이에 따라 기업 보안팀은 캐시 영역 모니터링과 사용자 실행 정책(예: PowerShell, mshta, osascript 제한)을 동시에 재점검해야 한다.
2026년 8월 4일자 The Hacker News 보도를 중심으로 러시아 연루 추정 위협 행위자가 운영하는 신규 로더-as-a-서비스 DOUBLECUP이 관측되었다. 본 보고서는 DOUBLECUP이 ClickFix �어와 브라우저 캐시 PNG 스테가노그래피를 결합해 어떤 방식으로 최종 페이로드를 전달하는지 추적하고, 기존 탐지 체계의 맹점과 실무 대응 항목을 위협 인텔리전스 관점에서 정리한다.
공격 개요: DOUBLECUP 로더-as-a-서비스의 등장
러시아 위협 행위자 귀속과 LaaS 비즈니스 모델
DOUBLECUP은 로더-as-a-서비스 형태의 인프라로 분류되며, 운영 주체는 러시아어권 위협 행위자와 연관된 것으로 분석된다. LaaS 모델은 초기 침투 단계의 도구와 후속 페이로드 배포 기능을 유료로 제공해 affiliate의 진입 비용을 낮추는 구조로, 카탈로그 형태로 다양한 최종 페이로드를 선택할 수 있다는 점에서 멀웨어 에코시스템 확장의 촉매로 기능한다. DOUBLECUP의 경우 카탈로그에 CountLoader와 신규 RAT DeviceManager가 동봉된 것이 특징이다.
2026년 8월 기준 캠페인 관측 시점과 유포 경로
관측된 캠페인은 2026년 8월 초반을 기준으로 보고되었으며, 1단계 유포는 ClickFix 류어 페이지(예: 가짜 CAPTCHA, 브라우저 업데이트, 오류 해결 안내 등)를 통해 이루어진 것으로 파악된다. 피해자는 안내 문구에 따라 키보드 단축키와 명령 실행을 수동으로 수행하게 되며, 이 지점에서 1단계 로더가 동작한다. 영향 대상 운영체제로는 Windows와 macOS가 거론되며, 운영체제별 후속 단계의 차이가 있는지는 추가 공개 정보가 제한적이라 단정하기 어렵다.
공격 체인 해부: ClickFix에서 DeviceManager까지
1단계 ClickFix 사회공학 유도 과정
ClickFix 류어는 피해자 스스로 악성 명령을 복사하고 실행하도록 만드는 사회공학 패턴이다. DOUBLECUP은 1단계에서 Run 대화상자 실행 또는 PowerShell, mshta, osascript 류의 명령 실행을 유도하며, 이를 통해 1단계 로더 스크립트가 사용자 권한 컨텍스트에서 실행된다. 이 시점의 행위는 정상 사용자 동작과 구분이 어렵기 때문에 사용자 교육과 실행 정책이 핵심 통제 지점이 된다.
2단계 브라우저 캐시 PNG 스테가노그래피 구성
1단계 로더는 별도의 디스크 페이로드를 드롭하는 대신 피해자 브라우저의 캐시 디렉터리에 스테가노그래피가 적용된 PNG 이미지를 저장한다. 이후 캐시 자원으로부터 은닉 컨텐츠를 추출해 메모리상 2단계를 실행하므로 디스크에 독립 실행형 악성 파일이 남지 않는 것이 핵심 특징이다. 아래 표는 각 단계별 위치, 매체, 탐지 시그널을 정리한 것이다.
| 단계 | 전달 위치/매체 | 핵심 기법 | 기대 탐지 시그널 |
|---|---|---|---|
| 1단계 (ClickFix) | 웹 페이지 안내 → Run/PowerShell | 사용자 직접 실행 유도 | 비정상 단축키 입력, 사용자 컨텍스트 스크립트 실행 이벤트 |
| 2단계 (PNG 캐시) | 브라우저 캐시 디렉터리 PNG | 이미지 스테가노그래피로 페이로드 은닉 | 캐시 경로 신규 PNG 생성, 비정상 이미지 디코딩/디스크 이미지 읽기 API 호출 |
| 최종 단계 | 메모리 상 실행 | CountLoader 및 DeviceManager RAT 로딩 | 이상 네트워크 C2 통신, 비정상 프로세스 트리, RAT 행위 패턴 |
최종 단계 CountLoader 및 DeviceManager RAT 실행 메커니즘
2단계에서 추출된 페이로드는 카운터(Counter) 기반의 다운로드 및 실행 기능을 제공하면서 동시에 DeviceManager RAT의 초기화 코드를 호출하는 것으로 보인다. DeviceManager RAT는 The Hacker News 보도 기준 공개된 선례가 없어 명칭과 기능이 처음 문서화된 사례로 해석되며, 이후 업데이트된 변형에서는 명령 실행, 자격 증명 수집, 지속화 기능이 추가될 가능성이 있어 지속적 모니터링이 요구된다.
시그니처 기반 탐지의 한계
파일형 페이로드 없이 캐시 자원을 악용하는 신규 패턴
기존 시그니처 기반 탐지는 디스크에 남는 실행 파일이나 드롭퍼 패턴에 크게 의존해 왔다. DOUBLECUP은 캐시 자원이라는 정상 영역을 악용하고 페이로드를 메모리에서 전개하기 때문에 전통적인 파일 해시/정적 시그니처만으로는 탐지가 어렵다. 따라서 다음과 같은 영역의 룰 갱신이 필요해 보인다.
- 브라우저 캐시 경로의 신규/대용량 PNG 생성 이벤트와 비정상 이미지 디코딩 호출
- 사용자 컨텍스트에서 발생하는 PowerShell/mshta/osascript 인자 패턴
- 정적 파일이 적은 프로세스의 네트워크 송신(Egress) 행위와 비정상 C2 패턴
EDR 탐지 룰 갱신 필요 영역 도출
EDR 측면에서는 행위 기반 룰이 중요해진다. 캐시 디렉터리 접근, 이미지 디코딩 라이브러리 호출, 메모리 내 페이로드 전개 시 발생하는 보호 프로세스 조작 이벤트, 그리고 RAT 행위 시그널(키로깅, 화면 캡처 등)처, 클립보드 접근 등)을 결합한 시나리오 룰이 효과적일 것으로 분석된다. 또한 네트워크 Egress 로그와의 상관 분석을 통해 캐시 시점과 외부 통신 시점을 묶으면 탐지 신뢰도를 높일 수 있다.
기업 보안팀의 대응 체크리스트
브라우저 캐시 모니터링 정책 점검
가장 먼저 확인해야 할 항목은 브라우저 캐시 모니터링 정책이다. 캐시 디렉터리를 기본 예외 영역으로 다루는 감사 정책은 DOUBLECUP 류의 위협에 노출되기 쉬우므로, 캐시 경로의 신규 파일 생성과 특정 확장자(이미지 포함) 변경 이벤트를 SIEM으로 수집하도록 정책을 갱신할 필요가 있다. 캐시 만료 정책과 사용자별 캐시 정리 절차도 함께 점검 대상이다.
사용자 교육 및 실행 정책 강화
ClickFix 류어는 사용자 판단에 의존하므로 단기적으로 가장 효과적인 통제는 사용자 교육과 실행 정책이다. 다음 항목을 운영 표준에 반영할 것을 권장한다.
- 웹 페이지 안내에 따른 Run 대화상자/PowerShell/mshta 실행 금지 정책
- 사내 메일, 게시판, 메신저를 통한 ClickFix 류 URL 보고 절차 마련
- 사용자 디렉터리 및 AppData, 캐시 경로에 대한 애플리케이션 화이트리스트 점검
위협 인텔리전스 기반 선제 탐지 체계
장기적으로는 위협 인텔리전스 기반의 선제 탐지 체계를 강화해야 한다. DOUBLECUP, CountLoader, DeviceManager RAT 관련 IoC(도메인, URL, IP, 파일 해시, JA3/JA3S 핑거프린트 등)를 위협 인텔 플랫폼과 EDR, NDR에 통합하고, 신규 RAT의 행위 시그니처가 공개되는 대로 �셋을 즉시 반영하는 절차를 마련할 필요가 있다. 외부 위협 인텔리전스 피드와 사내 로그의 상관 분석 자동화도 함께 고려할 대상이다.
운영 시사점 정리
정리하면, DOUBLECUP은 사회공학으로 시작해 캐시 자원의 스테가노그래피로 1단계를 우회하고, 최종적으로 메모리에서 RAT를 전개하는 압축형 체인을 보여준다. 이는 시그니처만으로 막기 어려운 공격 패턴이 점점 정교해지고 있음을 시사하며, 사용자 교육, 실행 정책, 캐시 모니터링, 행위 기반 탐지의 4축을 동시에 강화하는 다층 방어 전략이 요구된다. 신규 RAT DeviceManager에 대해서는 향후 변형 공개 시 행위 시그니처를 즉시 �신하는 운영 리듬을 확보하는 것이 핵심이다.
핵심 정리
- DOUBLECUP LaaS는 ClickFix + PNG 스테가노그래피 기반 이단계 체인을 운용한다.
- 최종 페이로드는 CountLoader와 신규 RAT DeviceManager로 구성된다.
- 캐시 자원 악용과 메모리 전개로 시그니처 기반 탐지 우회가 가능하다.
- 대응은 사용자 교육, 실행 정책, 캐시 모니터링, 행위 기반 탐지의 4축 강화가 핵심이다.
참고 자료: The Hacker News – DOUBLECUP Uses ClickFix and Cached PNGs, Bleeping Computer – DOUBLECUP ClickFix Service Hides Malware in Browser Cache Images