구글 검색 광고 교묘하게 악용해 가짜 데스크톱 다운로드 페이지로 접속 유인
명령어 복사 및 붙여넣기 유도하는 ‘클릭픽스(ClickFix)’ 기법으로 정보 탈취

[보안뉴스 조재호 기자] 안랩이 생성형 AI 서비스 ‘클로드’를 사칭한 피싱 사이트로 정보 탈취형 악성코드를 유포한 사례를 확인하고, 사용자 주의를 당부했다.


▲검색 결과 최상단에 노출된 클로드 사칭 피싱 사이트 [출처: 안랩]

발견된 피싱 사이트는 ‘클로드를 데크스톱에서 이용해 보세요’(Bring Claude to your Desktop)라는 문구와 함께 윈도우와 맥OS를 아우른 운영체제별 다운로드 버튼이 있다. 사용자가 자신의 환경에 맞는 버튼을 클릭하면 실제 설치 파일이 다운로드 되는 대신, 설치 방법을 안내하는 팝업 창과 함께 특정 명령어를 복사해 시스템에 붙여 넣으면 된다고 설명한다.

사용자가 이 절차를 따르면 악성코드가 설치되며, PC내 파일과 브라우저 저장 정보, 암호화폐 지갑 정보까지 빼돌려 공격자의 서버로 전송한다. 이러한 안내와 오류 팝업을 위장해 사용자가 직접 악성 명령을 실행하게 만드는 공격 방식을 ‘클릭픽스’(ClickFix) 기법이라 부르며, 다수의 악성코드 유포에 활발히 쓰이고 있다.

이 피싱 사이트는 발견 당시 구글 검색창에 ‘클로드 앱’(claude app)과 ‘클로드 데스크톱’(claude desktop) 같은 키워드를 입력했을 때 결과 최상단에 노출됐었다. 공격자는 클로드를 PC에 설치하려는 사용자를 유인하기 위해 구글 검색 광고 서비스를 악용해 노출 순위를 조작한 것으로 추정된다. 검색 상단 노출을 신뢰하는 사용자들의 습관을 노린 함정이다.

피해 예방을 위해 프로그램 공식 경로 다운로드를 철저히 지키고, 검색 결과 상단 노출 여부와 관계없이 도메인 주소를 꼼꼼히 확인해야 한다. 또, PC와 OS, 소프트웨어, 인터넷 브라우저 전반에 걸친 최신 보안 패치 적용과 백신 실시간 감시 기능 활성화가 필수적이다.

김동현 안랩 매니저는 “유행하거나 널리 쓰이는 서비스를 사칭한 피싱 사이트로 악성코드를 유포하는 사례가 꾸준히 발생하고 있다”며 “많은 사용자가 검색 결과 상단에 노출된 사이트를 신뢰하는 경향 있어 순위를 조작하는 수법까지 동원된 만큼 각별한 주의가 필요하다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>