새로운 DOUBLECUP ClickFix 서비스, 브라우저 캐시 이미지에 악성코드 숨겨

핵심 요약

러시아 기반의 새로운 로더-애즈-어-서비스인 DOUBLECUP이 ClickFix 공격을 활용하여 브라우저 캐시된 PNG 이미지에 악성코드를 숨겨 Windows 및 macOS 시스템에 CountLoader와 DeviceManager(RAT)를 배포하는 위협이 발견되었습니다. 이 공격은 합법적인 파일 내에 악성 페이로드를 삽입하여 방어 체계를 우회하는 MITRE ATT&CK T1027.009 Embedded Payloads 전술을 사용하며, 사용자 브라우저의 캐시 메커니즘을 악용하여 악성코드를 은밀하게 전달합니다. IT 감사인은 이러한 은닉형 악성코드 배포 방식에 대한 조직의 탐지 및 대응 역량을 점검하고, 엔드포인트 보안 강화 및 사용자 교육의 필요성을 시사합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 탐지 규칙을 고도화하여 브라우저 캐시 파일 내 비정상적인 코드 삽입 및 실행 시도를 탐지하고 차단할 수 있도록 적용해야 함을 권고함.
• ✔기술적 조치웹 프록시 및 웹 방화벽(WAF)의 콘텐츠 검사 기능을 강화하여 이미지 파일 등 비실행 파일 내 악성코드 은닉 여부를 분석하고, 의심스러운 콘텐츠의 유입을 차단할 수 있도록 설정할 것을 권고함.
• ✔기술적 조치네트워크 트래픽 모니터링 시스템(NDR)을 통해 내부 시스템과 외부 C2 서버 간의 비정상적인 통신 패턴(예: CountLoader, DeviceManager 관련)을 탐지하고 즉시 차단할 수 있도록 규칙을 수립 및 적용해야 함을 권고함.
• ✔관리적 조치사용자 브라우저의 보안 설정 표준을 수립하고, 그룹 정책(GPO) 등을 활용하여 모든 사용자 PC에 일관되게 적용하며, 주기적으로 설정 준수 여부를 감사할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 브라우저 캐시를 악용한 악성코드 유포 방식 및 원격 액세스 트로이목마(RAT) 감염 위험에 대한 보안 교육을 강화하여, 의심스러운 활동 발생 시 즉시 신고할 수 있도록 인식 수준을 제고할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문