핵심 요약
- macOS를 겨냥한 ClickFix 캠페인이 250개 이상의 프런트엔드 도메인을 운영하며 인프라 규모를 확대한 것으로 확인됨
- 서버측 게이트가 브라우저 핑거프린팅으로 방문자 환경을 사전 검증해 크롤러와 분석 샌드박스를 우회하는 방식이 적용됨
- Microsoft Threat Intelligence가 수주간 추적한 기존 인프라에서 페이로드 분기 등 동작 변화가 관측됨
이번 사안은 단순한 사회공학을 넘어 도메인 다변화와 환경 인지 기반 필터링이 결합된 형태의 운영 성숙도를 보여준다.
macOS를 대상으로 한 ClickFix 스타일의 사회공학 캠페인이 250개 이상의 도메인을 프런트엔드 전면에 펼쳐 두고, 서버측에서 브라우저 환경을 판정한 뒤 표적 사용자에게만 가짜 다운로드 화면을 제공하는 방식으로 운영되고 있다. The Hacker News는 2026년 8월 5일자 기사에서 이 사례를 공개했고, Microsoft Threat Intelligence의 추적 기록에서 동작 변화가 함께 포착된 점을 근거로 제시했다.
본 글에서는 도메인 수와 게이트 로직, 인프라 변화, 그리고 조직 단위의 대응 방향까지 원문 공개 사실을 중심으로 정리한다.
1. 캠페인 개요: 250개 이상 도메인이 만드는 ClickFix 공격면
1.1 공격 표적과 배포 채널
이번 캠페인이 사용하는 프런트엔드 도메인은 250개 이상으로 파악되었으며, 사용자는 메신저, 이메일 링크, 검색 결과 등 다양한 경로로 이 도메인에 유입되는 것으로 보고되었다. 도메인 수가 다변화된 만큼 단일 차단만으로는 캠페인 표면을 줄이기 어렵고, 운영자는 빠르게 도메인을 교체하면서 노출 입구를 분산시키는 방식을 취하고 있다.
이 도메인들은 ClickFix 계열의 페이지 템플릿을 공유해 외형상 정상 페이지와 구분하기 어려운 형태가 많다. 사용자가 페이지에 머무는 동안 macOS 환경을 만족하면 가짜 다운로드 화면으로 분기되고, 그렇지 않은 환경에서는 무해한 콘텐츠가 반환된다.
1.2 기존 macOS ClickFix 사례와의 차별점
기존의 macOS 대상 ClickFix 사례가 비교적 소수의 도메인을 순환하며 동일한 페이로드를 노출했다면, 이번 캠페인은 인프라의 양과 동작 고도화 양쪽에서 차이가 관측된다. The Hacker News는 Microsoft Threat Intelligence가 수주간 추적해 온 인프라에서 동작 변화가 관측되었다고 전했으며, 이는 운영자가 탐지 회피를 위해 지속 조정하고 있음을 시사한다.
2. 서버측 브라우저 핑거프린팅의 동작 원리
2.1 크롤러와 샌드박스 차단 로직
캠페인은 서버측 게이트에서 브라우저 핑거프린팅을 수행해 방문자 환경을 사전 검증한다. 사용자 에이전트 문자열뿐 아니라 화면 해상도, 타임존, 웹 API 노출 여부, 자동화 헤더 등 다수의 속성을 종합해 크롤러, 헤드리스 브라우저, 분석용 샌드박스를 판정한다.
판정 결과 비표적으로 분류되면 정상 페이지를 반환해 분석가의 추적을 어렵게 만들고, 표적 사용자로 분류된 경우에만 가짜 소프트웨어 다운로드 화면으로 분기한다. 이 구조는 정적 스크래핑과 동적 분석 양쪽을 동시에 우회하려는 의도로 설계된 것으로 분석된다.
2.2 Mac 사용자 선별 및 가짜 다운로드 화면 제공
게이트는 macOS 사용자 에이전트 문자열과 Safari, WebKit 계열 환경을 식별해 표적을 좁힌다. 조건을 만족하는 세션에 한해 가짜 다운로드 화면을 제공하며, 화면에는 보안 업데이트, 브라우저 플러그인, 시스템 도구처럼 위장한 설치 안내가 포함된다.
아래는 캠페인 동작을 요약한 비교 표다.
| 구분 | 크롤러/샌드박스 | 비표적 사용자(Windows 등) | 표적 macOS 사용자 |
|---|---|---|---|
| 초기 응답 | 정상 페이지 반환 | 정상 페이지 반환 | 게이트 통과 후 분기 |
| 다운로드 화면 | 제공되지 않음 | 제공되지 않음 | 가짜 소프트웨어 다운로드 화면 제공 |
| 사회공학 단계 | 진입 불가 | 진입 불가 | 권한 상승 유도 단계로 연결 |
| 탐지 가능성 | 정적 수집 한정 | 낮음 | 사용자 행동 기반 단서 의존 |
3. Microsoft Threat Intelligence가 추적한 인프라 변화
3.1 수주간 관측된 페이로드 분기
Microsoft Threat Intelligence는 수주간 추적해 온 기존 인프라에서 동작 변화가 관측되었다고 밝혔다. 구체적으로 가짜 다운로드 화면의 문구, 안내 절차, 다운로드 파일명의 변경이 반복적으로 포착된 것으로 보고되었다. 이는 단일 페이로드를 장기간 재사용하던 기존 macOS ClickFix 운영과 다른 점으로, 운영자가 탐지 시그니처 회피를 위해 페이로드 자산을 빠르게 갱신하고 있음을 보여준다.
3.2 관련 IOC와 위협 헌팅 시사점
인프라의 빈번한 변화는 단일 도메인이나 단일 파일 해시 기반 IOC만으로 추적이 어렵다는 점을 시사한다. 위협 헌팅 관점에서는 다음과 같은 단서를 다중으로 결합할 필요가 있다.
- 사용자 에이전트와 화면 해상도 등 비표준 조합을 요구하는 서버측 응답 패턴
- Safari 및 WebKit 계열에서만 활성화되는 자바스크립트 분기 로직
- macOS 설치 패키지나 디스크 이미지 다운로드 직전의 안내 문구 패턴
- 출처가 불분명한 도메인에서 시작되는 단시간 클릭 체인
이러한 단서를 사용자 행동 로그, 네트워크 프록시 로그, 엔드포인트 텔레메트리에서 동시에 확인하면 단일 IOC만으로 누락되는 사례를 보완할 수 있다.
4. 조직의 대응 권고
4.1 사용자 교육 및 다운로드 경로 통제
The Hacker News는 사용자가 검색이나 메신저 링크를 통해 도달한 페이지에서 소프트웨어를 내려받지 않도록 교육해야 한다고 강조했다. macOS 사용자에게는 시스템 설정의 보안 정책으로 신뢰되지 않은 개발자 배포 채널을 차단하고, 설치 출처를 공식 스토어나 MDM으로 제한하는 것이 효과적인 것으로 보고된다.
또한 다운로드 파일명, 안내 문구, 도메인 등록 시점을 주기적으로 점검하는 사용자 인지 절차를 도입하면 사회공학 단계 진입 자체를 늦출 수 있다.
4.2 네트워크 단위 핑거프린팅 기반 탐지 전략
서버측 게이트가 사용자 환경을 판정한다는 점은 네트워크 단위에서도 비슷한 신호가 관측됨을 의미한다. 사용자 에이전트 변조, 헤드리스 브라우저 신호, 짧은 세션에서의 분기 요청 등을 웹 프록시와 NDR에서 동시에 확인하면 정상 사용자에게는 발생하지 않는 비정상 패턴을 식별할 수 있다.
조직은 정적 차단 목록에 의존하기보다, 비표적 환경에서 정상 페이지가 반환되고 표적 환경에서만 분기가 일어나는 트래픽 특성을 기준으로 한 탐지 규칙을 함께 운용하는 것이 필요하다.
핵심 정리
- 250개 이상의 프런트엔드 도메인은 단순한 다변화가 아니라 서버측 게이트와 결합되어 표적을 정밀하게 선별하는 데 사용된다.
- 서버측 브라우저 핑거프린팅은 크롤러와 샌드박스에 정상 페이지를 반환하고 macOS 사용자에게만 가짜 다운로드 화면을 제공한다.
- Microsoft Threat Intelligence가 수주간 추적한 인프라에서 동작 변화가 관측된 점은 운영자가 지속 조정 중임을 보여준다.
- 단일 IOC 기반 차단은 한계가 있으며 사용자 인지 교육과 네트워크 단위 행동 탐지를 함께 운용해야 한다.
참고 자료: The Hacker News 원문 기사, Dark Reading – macOS 및 사회공학 위협 참고 기사