CAPTCHA인 줄 알았는데 악성코드였습니다### \*Fix 계열 공격이란? ClickFix, FileFix, IntallFix 등으로 대표되는 \*Fix 계열 공격은 사용자가 “특정 문제를 해결”하기 위해 어떠한 행위를 하는 순간을 이용해 공격 표면으로 바꾸는 사회공학 기법이다. 공격자는 CAPTCHA 검증 실패, 브라우저 오류, 파일 접근 문제, 설치 안내, 다운로드 실패, OAuth 동의 흐름, AI agent의 자동 행동 같은 맥락을 만들고, 사용자가 직접 명령을 실행하거나 권한 부여 값을 복사해 전달하거나 agent가 의도치 않은 행동을 수행하게 만든다. 이 부분에서 전통적인 웹 기반 악성코드 유포 방식과 차이가 존재한다. 전통적 웹 기반 악성코드 유포는 브라우저 취약점 등을 이용해 사용자 환경에 악성코드를 유포했던 반면, \*Fix 계열 공격은 사용자의 행동을 이끌어내 악성코드를 유포한다. ### 공격 종류 Fix 계열 공격에는 ClickFix, FileFix, TerminalFix, DownloadFix, ConsentFix, CrashFix, InstallFix, PromptFix 등이 존재한다. MITR ATT&CK와 같은 공식 분류 체계를 통한 표준 용어는 아니지만, 각 공격의 특징 정보를 본 따 \~Fix로 이름 붙여 불려지고 있다. Fix 계열 공격은 사용자 행위를 이끌어 낸 뒤 Windows Run, PowerShell, Terminal, File Explorer 주소 표시줄, 설치 스크립트, OAuth authorization code, AI browser의 클릭·다운로드 행동을 악용해 사용자 환경에 악성코드를 유포한다. 각 \*Fix 공격들은 아래와 같은 특징을 갖고 있다. **ClickFix** 사용자가 악성 명령을 복사해 Windows Run, PowerShell, Terminal 등에 붙여넣고 실행하도록 유도하는 사회공학 기법이다. Proofpoint는 2024년 3월 초 TA571과 ClearFake 관련 캠페인에서 ClickFix를 처음 관측했다고 설명했고, Microsoft도 2024년 3월부터 6월 사이 Storm-1607 이메일 캠페인에서 ClickFix 기법을 관측했다고 밝혔다. ClickFix는 가짜 CAPTCHA, Cloudflare 검증 화면, 브라우저 오류, 문서 열람 문제, 화상회의 장치 오류 등으로 나타난다. 사용자는 보안 검증이나 오류 복구 절차라고 믿고 명령을 실행하지만, 실제로는 원격 스크립트 호출, PowerShell 실행, 악성코드 다운로드, 스틸러 또는 RAT 설치로 이어지는 형태이다. ClickFix를 통해 Lumma Stealer, Xworm, AsyncRAT, NetSupport, SectopRAT, Latrodectus, MintsLoader, Vidar Stealer, DarkGate 등 각종 스틸러 및 RAT 악성코드가 유포되었다.  **FileFix** FileFix는 2025년 6월 23일 mr.d0x가 ClickFix를 응용해 제작 및 공개한 공격 기법이다. 기존 ClickFix가 Windows Run 대화상자 또는 터미널을 사용한다면, FileFix는 사용자가 파일을 업로드하거나 특정 파일 경로를 입력한다고 믿게 만든 뒤 Windows File Explorer 주소 표시줄을 악용한다. 사용자가 주소 표시줄에 클립보드 내용을 붙여넣고 Enter를 누르면, 사용자는 파일 경로라고 믿은 문자열이 명령 실행으로 전환되는 형태이다. FileFix가 악성 페이로드 전달에 사용되면 ClickFix와 유사한 피해가 발생한다. Check Point가 관측한 행위자는 과거 암호화폐 플랫폼 사용자를 겨냥한 ClickFix 기반 피싱과 연결되었고, NetSupport Manager 원격 접근 도구 설치 사례와도 연관이 있다고 설명했다.  **InstallFix** InstallFix는 2026년 3월 Push Security가 공개한 ClickFix의 변종으로, 사용자가 공식 설치 가이드처럼 보이는 웹페이지에서 명령을 복사해 터미널에 붙여넣는 습관을 악용한다. Push Security는 Google Ads를 통해 노출된 가짜 Claude Code 설치 페이지가 실제 설치 안내처럼 구성됐고, 피해자가 복사한 명령이 Amatera Stealer 감염으로 이어질 수 있다고 설명했다. 보통 개발자들(특히 Mac 환경 개발자들)은 brew 명령어 등 한 줄의 명령어를 복사 및 터미널에 붙여넣는 형태로 소프트웨어를 설치하곤 한다. InstallFix는 이 점을 악용해 피싱 사이트 내 악성 명령어를 위치시키고, 사용자가 명령어를 터미널 내에서 실행하게 유도한다. 명령어는 대부분 추가 악성코드를 다운로드 및 실행하는 형태로 이루어지며 ClickFix와 유사한 피해가 발생한다.  **TerminalFix** TerminalFix는 Huntress가 2025년 9월 ClickFix 변종 비교에서 다룬 명칭이다. 이 변형은 사용자가 PowerShell 또는 터미널을 직접 열고 클립보드에 복사된 명령을 붙여넣어 실행하도록 유도한다. InstallFix와 비슷한 형태이며 Windows 및 MacOS 모두 적용된다. InstallFix와 다른 점은 공격의 매개로 “소프트웨어 설치”를 사용하는 여부이다. TerminalFix의 경우 “소프트웨어 설치”를 매개로 사용하기보다는 사용자가 직접 명령어를 실행하게끔 유도하는 특징을 가진다. **DownloadFix** DownloadFix는 다운로드 실패 또는 중단을 가장하고 사용자가 복구 도구를 실행하게 만드는 ClickFix의 변형이다. 2025년 6월 23일 Jean-Francois Maes는 mr.d0x의 ClickFix 계열 아이디어에서 영감을 받은 “bring your own Fix” 변형을 공개했고, Huntress는 이를 DownloadFix로 분류했다. 다만, DownloadFix는 현재 PoC 성격이 강하며 ITW(In-The-Wild)에서 발견된 적은 없다. 따라서, ClickFix의 변종 중 하나로 존재하지만 실제 피해를 일으킨 사례는 없다. **CrashFix** CrashFix는 Microsoft가 2026년 1월 관측하고 2026년 2월 5일 공개한 ClickFix 변종이다. Microsoft 설명에 따르면, 이 공격은 피해자가 광고 차단기를 검색하다가 악성 광고를 통해 Chrome Web Store로 유도되고, uBlock Origin Lite를 사칭하는 악성 확장 프로그램을 설치하는 형태로 이루어졌다. 이후 사용자가 다운로드 한 악성 확장 프로그램은 DoS(Denial-of-Service) 등을 통해 사용자 브라우저를 정상 작동하지 못하게 만든 후, 가짜 CrashFix 보안 경고를 표시한다. 공격자는 피해자가 Windows 대화상자에 명령을 실행하도록 유도하고, LOTL(Living-off-the-Land) 기법을 통해 정상 Windows 유틸리티인 finger.exe를 악용해 공격자 C2로 부터 추가 악성코드를 다운로드 및 실행한다. 즉, CrashFix는 브라우저 확장/장애 등을 통해 사용자에게 공격자의 명령을 실행하도록 유도한다.  **ConsentFix** ConsentFix는 Push Security가 2025년 12월 공개한 browser-native ClickFix-style 공격이다. 이 공격은 사용자가 로컬 명령을 실행하도록 만드는 것이 아니라, 합법 Microsoft OAuth 흐름에서 생성된 로컬호스트 URL 또는 인증 코드 를 공격자 페이지에 붙여넣도록 유도한다. ConsentFix의 목적은 악성코드 감염보다는 피해자 계정 접근과 SaaS 침해에 가깝다. Push Security는 공격자가 Azure CLI 앱의 OAuth 흐름을 악용하여 피해자의 Microsoft 계정 접근 권한을 얻으려 했다고 설명했다. 즉, ConsentFix는 피해자 환경 내 악성코드 실행 보다는 인증/인가 프로토콜 흐름 탈취를 목적으로 한다. 피해자의 인증/인가 정보를 탈취해 이후 공격에 사용하려는 목적이다. 기존 ClickFix 및 ClickFix 변형 공격들과는 목적에 차이가 존재한다.  **PromptFix** PromptFix는 The Hacker News가 2025년 8월 Guardio Labs 연구를 인용해 보도한 기법이다. The Hacker News에 따르면, PromptFix는 가짜 CAPTCHA 또는 숨겨진 프롬프트를 이용해 agentic AI browser나 AI agent가 버튼 클릭, 파일 다운로드, 피싱 페이지 상호작용 같은 의도치 않은 행동을 수행하도록 유도하는 AI-era ClickFix 기법으로 설명됐다. PromptFix는 인간 사용자가 명령을 직접 실행하는 전통적 ClickFix와 위협 모델이 다르다. 여기서 속는 주체는 사용자가 아니라 사용자를 대신해 웹을 탐색하고 행동하는 AI agent 또는 AI browser이다. 즉, 공격의 대상이 “사람”에서 “AI agent”로 변경된 형태의 ClickFix 공격이라고 볼 수 있다. AI agent를 통해 악성코드를 다운로드 및 실행하도록 유도하는 형태이며 이 과정에서 사용자는 자신도 모르게 악성코드에 감염될 수 있다는 특징이 존재한다.  ### 공격의 진화 타임라인 및 각 공격의 특징 아래 그림은 각 \*Fix 공격이 세상에 등장한 타임라인이다.  전체 \*Fix계열 공격의 특징/흐름은 아래 그림과 같다.  ### 공격자들이 파고드는 부분 공격자들은 \*Fix계열 공격에서 피해자가 해결해야 한다고 느끼는 문제를 제시한다. 예를 들어 “CAPTCHA를 완료해야 한다”, “브라우저가 충돌했으니 복구해야 한다”, “파일을 열려면 경로를 붙여넣어야 한다”, “CLI 도구를 설치하려면 명령을 복사해야 한다”, “OAuth 흐름을 완료하려면 localhost URL을 붙여넣어야 한다”는 식이다. 그 다음 단계에서는 클립보드 조작, 복사 버튼, 파일 업로드 창, 설치 가이드, 브라우저 확장, OAuth 리다이렉션, 숨겨진 프롬프트 같은 매개체를 통해 사용자가 직접 실행 또는 전달 행위를 하게 만든다. 사용자 행위를 이끌어내는 특징으로 인해 방어자 입장에서는 단일 파일 해시나 URL 차단, 네트워크 행위 탐지 만으로는 방어가 힘들다. 결국, 브라우저 유입 → 사용자 지시문 → 클립보드 또는 복사 행동 → 정상 OS 도구 실행 → 네트워크·지속성·계정 접근으로 이어지는 전체 행위 체인을 분석해야 한다. 아래는 현재까지 밝혀진 각 \*Fix 공격의 피해 사례에 대한 정리이다 | 피해 유형 | 주요 기술적 영향 | 관련 \*Fix | | --- | --- | --- | | 정보 탈취 악성코드 | 브라우저 자격증명, 쿠키, 암호화폐 지갑, 시스템 정보 탈취 | ClickFix, FileFix | | RAT(Remote Access Trojan) 악성코드 | 공격자의 명령 실행, 추가 페이로드 다운로드, 실시간 모니터링, 키로깅 | ClickFix, CrashFix, TerminalFix | | SaaS 침해 및 계정 침해 | OAuth 토큰 탈취, Microsoft/Google 계정 비인가 접근, 클라우드 서비스 오용 | ConsentFix | | 공급망 및 개발 환경 위협 | 소스 코드 유출, CI/CD 파이프라인 침해, 개발자 자격증명 탈취 | InstallFix | | 업무 중단 | 브라우저 충돌 유도, 시스템 리소스 고갈, 서비스 가용성 저하 | CrashFix | | AI 에이전트 오남용 | AI 브라우저/에이전트의 비인가 클릭, 다운로드, 입력 등 악성 행위 수행 | PromptFix | ### 결론 전통적인 악성코드 유포 방식은 웹 취약점 등을 이용해 사용자 환경에 침투하는 방식이었다. Drive-By-Download, Malvertising 등의 기법이 주로 사용되었으며 사용자는 공격자가 장악한 웹 사이트에 접속 시 감염되는 형태였다. Drive-By-Download, Malvertising 등의 감염 기법에 대한 방어를 목적으로 여러 기업/기관들의 노력을 통해 전통적인 악성코드 유포 방식은 점차 세상에서 자취를 감추었다. (현재는 거의 찾아보기 힘들다.) 다만, 공격자들은 악성코드 유포를 위한 또 다른 방법을 찾아냈다. 스피어피싱 이메일로 시작한 사회공학 기법은 현재 ClickFix와 같은 *Fix 계열 공격들로 이어지는 추세이다. 본 글에서 살펴본* Fix 계열 공격들은 모두 사용자의 신뢰도를 이용하는 사회공학 기법이다. 즉, 방어자의 입장에서 \*Fix 계열 공격을 모두 방어하기란 쉽지 않다. 공격자들이 이전보다 더 세밀하게 공격을 수행하고 있는 만큼 방어자도 더 세밀한 방어 체계를 구성해야 한다. 정형화 된 공격 기법에 대한 방어 체계뿐 아니라 공격자보다 앞서 방어할 수 있는 선제적 방어 체계가 필요할 것으로 생각된다. ### 참조 문헌 [\[1\] Proofpoint — Around the World in 90 Days: State-Sponsored Actors Try ClickFix](https://www.proofpoint.com/us/blog/threat-insight/around-world-90-days-state-sponsored-actors-try-clickfix) [\[2\] mr.d0x — FileFix - A ClickFix Alternative](https://mrd0x.com/filefix-clickfix-alternative/) [\[3\] Microsoft Security Blog — New Clickfix variant ‘CrashFix’ deploying Python Remote Access Trojan](https://www.microsoft.com/en-us/security/blog/2026/02/05/clickfix-variant-crashfix-deploying-python-rat-trojan/) [\[4\] Push Security — ConsentFix: Analyzing a browser-native ClickFix-style attack that hijacks OAuth consent grants](https://pushsecurity.com/blog/consentfix) [\[5\] Acronis TRU — FileFix in the wild! New FileFix campaign goes beyond POC and leverages steganography](https://www.acronis.com/en/tru/posts/filefix-in-the-wild-new-filefix-campaign-goes-beyond-poc-and-leverages-steganography/) [\[6\] Huntress — ClickFix Attack: Variants, Detection & How It Works](https://www.huntress.com/blog/dont-sweat-clickfix-techniques) [\[7\] U.S. Department of Health and Human Services HC3 — ClickFix Attacks: Sector Alert](https://www.hhs.gov/sites/default/files/clickfix-attacks-sector-alert-tlpclear.pdf) [\[8\] Jean-Francois Maes — Bring your own Fix - Mr.D0x inspired variation of yet another fix attack](https://redteamer.tips/bring-your-own-fix) [\[9\] Check Point Research — FileFix: The New Social Engineering Attack Building on ClickFix Tested in the Wild](https://blog.checkpoint.com/research/filefix-the-new-social-engineering-attack-building-on-clickfix-tested-in-the-wild/) [\[10\] The Hacker News — Experts Find AI Browsers Can Be Tricked by PromptFix Exploit to Run Malicious Hidden Prompts](https://thehackernews.com/2025/08/experts-find-ai-browsers-can-be-tricked.html) [\[11\] Push Security — InstallFix: Weaponizing malvertised install guides](https://pushsecurity.com/blog/installfix) [\[12\] Trend Micro — InstallFix and Claude Code: How Fake Install Pages Lead to Real Compromise](https://www.trendmicro.com/en_us/research/26/e/installfix-and-claude-code.html) [\[13\] Microsoft Security Blog — Think before you ClickFix: Analyzing the ClickFix social engineering technique](https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/) [\[14\] CSO Online — Meet ConsentFix, a new twist on the ClickFix phishing attack](https://www.csoonline.com/article/4105230/meet-consentfix-a-new-twist-on-the-clickfix-phishing-attack.html) [\[15\] HHS. (2024, October 29). ClickFix Attacks Sector Alert. U.S. Department of Health and Human Services.](https://www.hhs.gov/sites/default/files/clickfix-attacks-sector-alert-tlpclear.pdf) [\[16\] Microsoft Security Blog. (2026, February 5). New Clickfix variant ‘CrashFix’ deploying Python Remote Access Trojan.](https://www.microsoft.com/en-us/security/blog/2026/02/05/clickfix-variant-crashfix-deploying-python-rat-trojan/) [\[17\] Picus Security. (2025, May 8). Interlock's ClickFix Trick: One Click, Total Data Compromise.](https://www.picussecurity.com/resource/blog/interlock-clickfix-ransomware-healthcare-attack) [\[18\] The Hacker News. (2025, August 20). Experts Find AI Browsers Can Be Tricked to Execute Malicious Code.](https://thehackernews.com/2025/08/experts-find-ai-browsers-can-be-tricked.html)