개발 문서에 사용되던 플레이스 홀더 도메인, 이제 ClickFix 공격에 악용

핵심 요약

개발 문서에 흔히 사용되던 'third-party.com' 플레이스 홀더 도메인이 가짜 Cloudflare 인증 페이지를 통해 Windows 사용자를 속여 PowerShell 명령을 실행하도록 유도하는 ClickFix 공격에 악용되고 있습니다. 이 공격은 사용자가 악성 웹사이트에서 복사-붙여넣기(Malicious Copy and Paste, T1204.004)를 하도록 유도하거나, 드라이브 바이 컴프로마이즈(Drive-by Compromise, T1189)를 통해 초기 접근을 시도하는 사회공학적 기법을 활용합니다. 공격자는 신뢰할 수 있는 도메인처럼 위장하여 사용자의 경계심을 낮추고 악성 코드를 실행하게 만듭니다. IT 감사인은 이러한 사회공학적 공격 기법에 대한 사용자 교육의 효과성, 엔드포인트 보안 솔루션의 탐지 및 차단 능력, 그리고 웹 필터링 정책의 적절성을 중점적으로 점검하여 조직의 방어 태세를 강화해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR 등)의 정책을 고도화하여 PowerShell 스크립트의 비정상적인 실행을 탐지하고 차단하며, 스크립트 실행에 대한 엄격한 통제 및 모니터링 체계를 수립 및 적용해야 함을 권고함.
• ✔기술적 조치웹 필터링 시스템의 위협 인텔리전스를 최신 상태로 유지하고, 신뢰할 수 있는 서비스(예: Cloudflare)를 사칭하는 피싱 및 악성 도메인에 대한 차단 정책을 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 ClickFix와 같은 최신 사회공학적 공격 기법(예: 악성 복사-붙여넣기, 드라이브 바이 컴프로마이즈)에 대한 인지도를 높이고, 의심스러운 웹사이트 및 이메일 처리 방법에 대한 정기적이고 실질적인 보안 교육을 강화할 것을 권고함.
• ✔관리적 조치개발 문서 및 코드 예제에 사용되는 플레이스 홀더 도메인에 대한 보안 가이드라인을 수립하고, 실제 운영 환경에서 악용될 가능성을 최소화하기 위한 검토 절차를 마련할 것을 권고함.
• ✔관리적 조치사회공학적 공격으로 인한 침해사고 발생 시 신속하게 탐지, 분석, 대응 및 복구할 수 있는 침해사고 대응 절차(IRP)를 점검하고, 관련 시나리오를 포함한 모의훈련을 정기적으로 수행하여 대응 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기