마이크로소프트 주의보…가짜 캡차 뒤에 숨은 BNB 스마트체인 악성코드 유포 수법

MS가 포착한 새로운 공격 방식, 블록체인이 명령 전달 통로로 악용

마이크로소프트 위협 인텔리전스팀이 최근 공격자들이 BNB 스마트체인(BNB Smart Chain) 스마트 컨트랙트를 활용해 악성 명령을 숨겨 배포하는 수법을 확인했다고 밝혔다. 이번 공격은 정상적으로 보이는 웹사이트를 먼저 오염시킨 뒤, 해당 사이트가 BNB 스마트체인 RPC 게이트웨이를 통해 스마트 컨트랙트에 저장된 명령을 불러오는 구조로 진행된다.

핵심은 이른바 이더하이딩(EtherHiding) 기법이다. 공격자는 블록체인을 단순 결제나 데이터 기록 용도가 아니라, 악성 스크립트와 명령을 보관하는 저장소처럼 이용한다. 스마트 컨트랙트는 한 번 배포되면 일반적인 방식으로 쉽게 삭제하거나 차단하기 어렵기 때문에, 공격자에게는 사실상 검열에 강한 명령 전달 인프라가 되는 셈이다.

마이크로소프트에 따르면 이러한 방식은 클릭픽스(ClickFix)와 터미널픽스(TerminalFix) 캠페인에 활용되고 있으며, 전 세계 기업과 개인 사용자의 기기를 상대로 매일 수천 건 규모의 공격 시도가 이어지고 있다.

가짜 캡차로 사용자가 직접 악성 명령을 실행하게 만든다

이번 공격이 특히 교묘한 이유는 시작 화면이 매우 익숙하다는 점이다. 사용자에게는 “로봇이 아님을 확인하라”는 식의 가짜 인증 창이 표시되고, 몇 가지 간단한 절차를 따라 하라는 안내가 나온다.

예를 들어 윈도우 키 + R로 실행 창을 열고, 이어서 Ctrl + V로 내용을 붙여넣은 뒤 엔터를 누르라고 유도한다. 이후에는 마치 인증이 정상 완료된 것처럼 “나는 로봇이 아닙니다 - 리캡차 인증 ID” 같은 문구를 보여주며 사용자를 안심시킨다.

하지만 실제로는 이 과정 전체가 함정이다. 사용자가 붙여넣고 실행한 내용이 바로 악성 명령이며, 공격자는 피해자의 손을 빌려 직접 시스템에서 이를 실행하도록 만든다.

이 방식은 보안 솔루션 입장에서도 까다롭다. 일반적인 악성코드처럼 자동으로 실행되는 프로그램이 아니라, 사용자가 속아서 직접 명령을 수행하기 때문에 탐지와 차단이 더 어려워질 수 있다.

BNB 스마트체인 RPC를 사실상의 C2처럼 사용

기술적으로 보면 이번 캠페인의 특징은 BNB 테스트넷 RPC 노드와의 통신에서 드러난다. 감염된 웹사이트는 공개 RPC 게이트웨이를 통해 특정 스마트 컨트랙트 주소에 eth_call 요청을 보내고, 그 안에 저장된 데이터를 읽어 다음 단계에서 사용할 악성 명령을 가져온다.

이 구조가 위험한 이유는 기존의 명령제어(C2) 서버 차단 방식이 잘 통하지 않기 때문이다. 전통적인 공격은 특정 IP나 도메인을 막으면 인프라를 무력화할 수 있지만, 블록체인 기반 스마트 컨트랙트는 특정 서버 한 대에 의존하지 않는다. 공격자는 필요할 때마다 컨트랙트에 담긴 내용을 갱신해 새로운 명령을 계속 배포할 수 있다.

특히 BNB 스마트체인이 악용된 배경에는 낮은 수수료, 빠른 처리 속도, 그리고 다양한 공개 RPC 게이트웨이 환경이 있다는 분석이 나온다. 공격자 입장에서는 적은 비용으로 명령을 저장하고 수정할 수 있어 운영 효율이 높다.

블록체인 기반 악성 인프라, 새롭지만 완전히 낯선 위협은 아니다

스마트 컨트랙트를 악성 코드 저장소처럼 활용하는 이더하이딩 수법은 이번이 첫 사례는 아니다. 보안 업계에서는 이미 몇 년 전부터 블록체인을 이용해 악성 스크립트나 명령을 숨기는 사례를 추적해 왔다.

다만 이번 경고가 더 주목받는 이유는, 마이크로소프트처럼 영향력이 큰 보안 업체가 실제로 매일 수천 대 규모의 기기가 위협받고 있다고 공식적으로 짚었다는 데 있다. 이로 인해 블록체인의 검열 저항성과 탈중앙화라는 장점이, 공격자에게는 방어 우회 수단으로도 활용될 수 있다는 점이 다시 부각됐다.

사용자가 기억해야 할 가장 중요한 대응 방법

이번 사례는 블록체인 자체의 결함이라기보다, 정상 웹사이트 감염과 사회공학적 속임수가 결합된 복합 공격에 가깝다. 결국 최전선의 방어는 사용자 경계심이다.

• 캡차나 인증 창이 윈도우 실행 창을 열라고 요구하면 즉시 중단
• 명령어 붙여넣기, PowerShell 실행, 터미널 입력을 요구하는 인증 절차는 의심
• 정상적인 리캡차는 운영체제 명령 실행을 요청하지 않음
• 익숙한 화면이라도 입력 지시가 비정상적이면 창을 닫고 사이트를 벗어날 것

요약하면, “로봇이 아닙니다”라는 문구가 보인다고 해서 모두 안전한 것은 아니다. 만약 인증 과정에서 시스템 명령 실행을 요구한다면, 그것은 캡차가 아니라 공격일 가능성이 높다.

출처 :: https://www.coinddak.com/news/articleView.html?idxno=7435