우크라이나 CERT-UA, 100개 이상 정상 사이트 악용한 대규모 멀웨어 캠페인 경고
우크라이나 컴퓨터 비상 대응팀 CERT-UA가 9월 한 달 사이 100개 이상의 정상 웹사이트가 악성 JavaScript 코드에 감염된 사실을 공개했다. 공격자들은 가짜 Cloudflare 인증 페이지를 띄워 '로봇이 아닙니다' 확인을 가장한 뒤 Win+R, 명령 프롬프트, PowerShell로 명령을 실행하도록 유도한다. 명령을 실행하면 LUNEXSTEALER와 'Microsoft Office Word Editor'를 사칭한 악성 확장프로그램이 설치되며 CERT-UA는 해당 캠페인을 UAC-0277로 추적하고 있다.
핵심 요약
- CERT-UA가 운영하는 캠페인 — 9월 2026년 한 달간 100개 이상의 정상 웹사이트에 악성 JavaScript가 삽입된 것이 적발됨
- ClickFix 기법 사용 — 가짜 Cloudflare '로봇이 아닙니다' 페이지를 띄워 사용자가 직접 Win+R, 명령 프롬프트, PowerShell로 명령을 복사·실행하게 만듦
- 감염 시 LUNEXSTEALER 정보 탈취기와 'Microsoft Office Word Editor'를 위장한 악성 브라우저 확장프로그램이 설치됨 — 로그인·비밀번호·浏览 기록 유출 및 원격 제어 가능
- 공격자는 Polygon 및 Ethereum 블록체인 네트워크로 인프라를 관리해 설정을 즉시 은밀하게 변경
- 악성 페이지는 Windows 사용자가 Google, DuckDuckGo, meta.ua, bigmir.net 등 검색엔진에서 유입될 때만 표시되며 12시간 동안 같은 방문자에게 최대 두 번 노출
- CERT-UA는 정당한 CAPTCHA·Cloudflare 검증은 Win+R·명령 프롬프트·PowerShell을 통한 명령 실행을 절대 요구하지 않는다고 강조
- 시스템 관리자 권고 — 일반 사용자 계정의 'Win+R' 차단, 서명되지 않은 MSI 설치 제한, 브라우저 확장프로그램 허용목록 사용
- 피해 또는 감염된 사이트 발견 시 CERT-UA([email protected])로 즉시 신고
왜 중요한가
이 캠페인은 공격자가 신뢰받는 정상 사이트 100개 이상을 감염 매개로 사용했다는 점에서 위험하다. 사용자가 직접 명령을 실행하도록 속이는 사회적 공학 기반이라 비전문가도 쉽게 피해를 볼 수 있으며, 결국 자격 증명 탈취와 기기 원격 제어까지 이어질 수 있다. 공격자가 Polygon과 Ethereum 블록체인으로 인프라를 운영해 설정을 빠르게 교체한다는 점은 차단과 추적을 어렵게 만든다. CERT-UA는 구체적인 방어 권고와 신고 채널을 함께 제공해 기관 사용자와 일반 사용자 모두가 활용할 수 있도록 했다.
무슨 일이 있었나
CERT-UA는 우크라이나 국가 컴퓨터 비상 대응팀으로, 우크라이나 국가특수통신정보보호국(Держспецзв'язку) 산하에서 활동한다. 이 팀은 새로운 대규모 멀웨어 배포 캠페인을 발견했으며, 9월 2026년 동안 100개 이상의 정상 웹사이트에 악성 JavaScript 코드가 추가된 사실을 확인했다. CERT-UA는 이 캠페인을 UAC-0277로 지정한 해커 그룹에 귀속시켰다.
공격자는 ClickFix라 불리는 기법을 사용한다. 감염된 정상 사이트에 Windows 사용자가 검색엔진접속을 통해 방문하면 가짜 Cloudflare 인증 페이지가 표시된다. 이 페이지는 '로봇이 아닙니다' 확인을 가장해 사용자에게 특정 명령을 복사해 Win+R 단축키, 명령 프롬프트, PowerShell을 통해 실행하도록 유도한다. 명령이 실행되면 악성 소프트웨어가 자동으로 다운로드되어 설치된다. CERT-UA는 정당한 CAPTCHA나 Cloudflare 절차는 절대 이러한 동작을 요구하지 않으며, 사용자가 즉시 해당 페이지를 닫아야 한다고 강조한다.
감염 후 LUNEXSTEALER라는 정보 탈취 유틸리티가 설치되며, 'Microsoft Office Word Editor'를 위장한 악성 브라우저 확장프로그램도 함께 설치된다. 이 확장프로그램은 로그인 정보, 비밀번호, 浏览 기록을 유출하며 공격자에게 피해 기기 원격 제어 권한을 부여한다. 보고에 따르면 악성 페이지는 검색엔진(Google, DuckDuckGo, meta.ua, bigmir.net 등)에서 유입한 Windows 사용자에게만 표시되며 동일 방문자에 대해 12시간에 최대 두 번만 나타난다.
공격자는 Polygon 및 Ethereum 블록체인 네트워크를 사용해 인프라를 관리하며, 시스템 드라이버 취약점을 악용하고 정상 파일로 위장해 시스템 방어를 회피한다. CERT-UA는 시스템 관리자 대상으로 Win+R 대화상자 차단, 서명되지 않은 MSI 패키지 설치 제한, 브라우저 확장 허용목록 사용을 권고한다. 감염된 사이트 소유자와 공격을 목격한 사용자는 [email protected]로 CERT-UA에 즉시 신고해야 한다.
배경
CERT-UA는 우크라이나 국가 컴퓨터 비상 대응팀으로 우크라이나 국가특수통신정보보호국(Держспецзв'язку) 산하에 있다. ClickFix 기법은 CAPTCHA나 Cloudflare 같은 정당한 보안 확인을 모방해 사용자가 스스로 악성 명령을 실행하도록 속이는 사회공학 기반 공격 방식이다. 정당한 CAPTCHA와 Cloudflare 검증은 절단 Win+R·명령 프롬프트·PowerShell을 통한 명령 붙여넣기·실행을 요구하지 않는다.