이더하이딩과 클릭픽스가 결합된 BSC 테스트넷 기반 공격은 이런 구조다. 해킹된 웹사이트 방문자의 브라우저에서 스크립트가 실행되고, 이 스크립트가 BSC 테스트넷 스마트 컨트랙트에 eth_call로 접속해 2단계 페이로드를 수신한다. 이어 가짜 캡차 화면에서 사용자가 실행 창에 명령어를 직접 붙여넣도록 유도해 최종 악성코드를 설치한다. 기존 도메인·서버 차단 방식과 근본적으로 다른 점은 C&C 인프라가 특정 웹 서버가 아니라 블록체인 네트워크 자체라는 점이다. 단일 IP나 도메인을 차단해도 스마트 컨트랙트에 저장된 페이로드가 제거되지 않고 지속 접근이 가능하다.
이더하이딩이란: 스마트 컨트랙트를 악성 코드 저장소로 쓰는 기법
이더하이딩(EtherHiding)은 악성코드나 공격 설정 정보를 블록체인 스마트 컨트랙트에 저장해두었다가, 감염된 클라이언트에서 조회해 배포하는 기법이다. 이번 공격에서도 해킹된 웹사이트에 삽입된 악성 스크립트가 BSC 테스트넷 스마트 컨트랙트에 접속해 다음 단계 공격 코드를 수신하는 방식이 적용됐다. 이를 이더하이딩으로 분류한다.
이 기법은 2023년 7월부터 유포된 ClearFake 캠페인에서 이미 관찰됐다. Smargaft 봇넷이 BSC RPC 서버에서 C&C IP를 회수하는 등 스마트 컨트랙트를 C&C 인프라로 활용한 실제 악용 사례도 여럿 있다.
왜 BSC 테스트넷인가: 무료 배포·갱신과 차단 회피
공격자가 메인넷이 아닌 BSC 테스트넷을 고른 이유는 비용 구조다. 테스트넷은 개발자가 블록체인 프로그램을 시험할 수 있도록 만든 환경이라 비용 부담이 거의 없다. 이더하이딩은 상태를 변경하지 않는 읽기 호출인 eth_call로 페이로드를 조회하므로 배포 단계에서 가스비가 발생하지 않고, 테스트넷을 쓰면 컨트랙트 배포나 페이로드 갱신에도 실제 비용이 들지 않는다.
공격자는 페이로드를 수정하거나 갱신할 때 금전적 제약이 거의 없다. 블록체인 네트워크 전체가 인프라인 만큼 특정 도메인이나 IP를 차단해 공격을 단절하는 기존 방식도 통하지 않는다.
공격 작동 구조: 삽입 스크립트 → eth_call → 2단계 페이로드
전체 공격 체인은 다음 순서로 동작한다.
- 해킹된 웹사이트에 악성 스크립트가 삽입되어 방문자 브라우저에서 실행된다.
- 스크립트는 BSC 테스트넷 스마트 컨트랙트에 eth_call 요청을 보내 2단계 공격 코드를 수신한다.
- 수신된 2단계 코드가 브라우저 내 ClickFix 화면을 생성하거나, 변종의 경우 WebRTC C2 회선을 직접 수립한다.
C2 회선 수립 후 전달되는 후속 페이로드의 구체적 종류(백도어, 정보 탈취, 랜섬웨어 등)와 시스템 내 동작은 현재 공개된 증거에서 기술되지 않는다. 해킹된 웹사이트의 악성 스크립트 삽입 경로(CMS 취약점, 서드파티 스크립트 변조 등)도 원문에 명시되지 않아 확인되지 않은 상태다.
클릭픽스 단계: 가짜 캡차와 파워셸 붙여넣기 유도
기존 ClickFix 방식에서는 사이트를 방문하는 것만으로 감염 조건이 충족되지 않는다. 가짜 캡차(CAPTCHA) 화면이 뜨면 사용자에게 윈도우 ‘실행’ 창을 열고 클립보드에 복사된 명령어를 직접 붙여 넣도록 유도한다. 사용자가 지시대로 명령을 실행하면 파워셸 등으로 최종 악성코드를 내려받아 실행하게 된다.
이 과정에서 공격자가 노리는 건 사용자의 수동 개입이다. 사이트 방문만으로 악성코드가 설치되지 않으므로, 사용자가 직접 실행해주지 않으면 공격은 진행되지 않는다.
WebRTC 변종: 클릭픽스 없이 직접 수립하는 암호화 C2
최근 일부 해킹 사이트에서는 ClickFix 화면을 거치지 않고 WebRTC 데이터 채널로 공격자 C2 서버와 암호화 통신을 직접 수립하는 변종이 관찰됐다. 넷스코프(Netskope) 분석에서도 WebRTC 데이터 채널로 C2 서버와 암호화 통신을 만드는 코드가 해당 사이트에서 발견됐다.
이 변종의 핵심 메커니즘은 이렇다.
- 악성 스크립트가 WebRTC 연결에 필요한 응답값(공격 서버 IP, UDP 포트, 인증값)을 코드 내부에 미리 포함한다.
- 정상적인 WebRTC 연결 절차 일부를 건너뛰어 C2 회선을 직접 수립한다.
- 서버가 보내는 자바스크립트를 메모리에서 조립·실행하며, 디스크에 저장하지 않고 동작한다.
공격자가 최근 이 WebRTC 직접 C2 방식을 쓰기 시작했다는 보고도 나왔다. HTTP 트래픽만 검사하는 기존 보안 장비에는 이 UDP 기반 통신이 잡히지 않을 수 있어 탐지가 더 어려워진다.
기존 도메인·서버 차단 방식과 어떻게 다른가
기존 맬웨어 배포는 특정 웹 서버나 도메인을 C&C 인프라로 사용하므로, 해당 도메인을 차단하거나 IP를 블랙리스트에 등록하면 공격 체인이 단절된다. 이더하이딩은 블록체인 네트워크 자체를 인프라로 사용해 이 접근이 무력화된다. 블록체인에 한 번 기록된 데이터는 임의로 삭제하거나 차단할 수 없고, 스마트 컨트랙트에 저장된 페이로드는 지속 접근이 가능하다는 점이 핵심 차이다.
아래 표는 기존 차단 방식과 이 공격의 구조적 차이를 비교한다.
| 구분 | 기존 도메인·서버 기반 C&C | 이더하이딩 BSC 테스트넷 기반 |
|---|---|---|
| C&C 인프라 | 특정 웹 서버, 도메인, IP | 블록체인 네트워크(스마트 컨트랙트) |
| 차단 방식 | 도메인/IP 블랙리스트, DNS 차단 | 스마트 컨트랙트 삭제 불가, eth_call은 상태 변경 없음 |
| 페이로드 수정 | 서버에서 파일 교체 가능 | 테스트넷 컨트랙트 재배포(비용 사실상 0) |
| 트래픽 시그니처 | HTTP/HTTPS 대상, 특정 도메인 패턴 | BSC 테스트넷 RPC 엔드포인트 + WebRTC 비웹 UDP |
| 감염 조건 | 방문 또는 자동 실행 | ClickFix: 사용자 직접 명령 실행 / WebRTC 변종: 사용자 개입 불필요 |
참고로 ASEC 분석에서는 Sepolia 테스트넷을 활용한 이더하이딩 사례를 다루지만, 본 캠페인이 쓰는 체인은 BSC 테스트넷이다. 체인은 달라도 eth_call을 통한 무료 조회와 차단 곤란의 원리는 같다.
캠페인 규모: 5,400개 침해 사이트와 2,200개 관련 조직
넷스코프 위협 연구소가 2026년 9월 3일 공개한 캠페인 분석 결과에 따르면, 전 세계 5,400개 이상의 해킹된 웹사이트가 블록체인에 저장된 악성 스크립트로 방문자에게 클릭픽스 공격을 유포한 사실이 확인됐다. 관련 조직은 전 세계 2,200곳이 넘고, 대상 사이트는 주로 워드프레스와 프레스타숍 기반의 중소기업(병원, 배관업체, 소규모 쇼핑몰 등) 웹사이트였다.
활동 추이를 보면 올해 봄 이후 BSC 테스트넷에 접속하는 침해 사이트가 계속 늘었다. 평일 기준으로 하루 300개 이상이 활동했고, 8월에는 하루 약 400개 사이트가 관찰된 날도 있었다. 해당 공격은 현재 활성 악용 상태다.
마이크로소프트 위협 인텔리전스도 BNB 스마트체인 컨트랙트에 악성 명령을 저장해 감염된 정상 웹사이트를 경유해 회수·실행하는 ClickFix·TerminalFix 캠페인이 전 세계에서 매일 수천 대의 기업·개인 기기를 노린다고 경고했다. 다만 측정 단위가 넷스코프의 ‘침해 사이트 수’와 달라 두 수치를 직접 비교·통합하면 안 된다.
탐지와 대응: BSC 테스트넷 RPC·WebRTC UDP·CMS 무결성 점검
넷스코프는 보안 담당자에게 다음 대응을 권고했다.
- BSC 테스트넷 RPC 접속 점검: 내부 네트워크에서 BSC 테스트넷 RPC 엔드포인트로 나가는 트래픽을 확인하고, 업무와 관련 없으면 해당 엔드포인트를 차단한다.
- WebRTC 비웹 UDP 통신 점검: HTTP 트래픽뿐 아니라 WebRTC에서 이용하는 비웹 UDP 포트 범위의 통신을 SIEM 또는 NDR에서 모니터링한다.
- CMS 무결성 확인: 워드프레스 등 CMS 기반 사이트에서 자바스크립트 파일 변조, 위장 디렉터리 존재 여부, 플러그인 및 CMS 최신화, 웹 파일 무결성을 점검한다.
SIEM·NDR 운용 측면에서 주목할 부분은 WebRTC 변종이 UDP 기반 암호화 채널을 쓴다는 점이다. 기존 WAF나 HTTP 프로토콜 분석만으로는 이 트래픽이 가시화되지 않는다. UDP 포트(443 이외) 비웹 트래픽에 대한 가시성 확보가 먼저다.
확인되지 않은 사항과 조사 한계
다음 사항들은 현재 공개된 증거에서 확인되지 않는다. 추측으로 서술하지 않는다.
- 최초 침해 벡터: 사이트가 처음 어떤 방법으로 해킹됐는지는 넷스코프 조사에서도 확인되지 않았다.
- 후속 페이로드 세부 동작: C2 회선 수립 후 전달되는 페이로드의 종류와 시스템 내 동작이 기술되지 않았다.
- 구체적 네트워크 인디케이터: 스마트 컨트랙트 주소, BSC 테스트넷 엔드포인트, C2 도메인/IP, 파일 해시 등이 원문에 포함되지 않았다.
- 독립적 교차 검증: 넷스코프 분석 외 독립적 검증 출처가 없어 일부 기술 세부사항은 단일 출처에 의존한다.
- CVE 등재 및 CISA KEV 등록: 공개된 취약점 등재나 CISA KEV 등록은 현재 증거에서 확인되지 않는다.
- 마이크로소프트 1차 발표 원문: 코인딱 전재본만 확인됐으며 MS 공식 블로그 원문은 미확인 상태다.
해킹 사이트 5,400곳 수치는 데일리시큐 본문(넷스코프 조사 인용)에서 확인됐지만, 넷스코프 공식 블로그 본문은 수집에 실패해 1차 출처 직접 확인은 불가능한 상태다. 기업 보안 운영·위협 인텔리전스 팀이 추가 모니터링을 설계할 때는 위 미확인 사항을 감안해, 특정 인디케이터보다 트래픽 패턴(테스트넷 RPC 호출, 비웹 UDP 암호화 채널) 중심의 탐지 규칙을 우선 검토하는 게 좋다.