Microsoft, ACR Stealer 공격 경로 공개…ClickFix·블록체인 C2 악용

Microsoft 공식 보안 분석에 따르면 정보탈취형 악성코드 ACR Stealer가 서로 다른 두 침투 경로를 통해 브라우저 자격증명과 기업 문서를 노리고 있다. Microsoft Defender Experts는 2026년 4월 말부터 6월 중순까지 고객 환경에서 관련 활동이 늘어난 정황을 관찰했다고 밝혔다.

두 공격은 모두 가짜 인증 절차로 사용자를 속이는 ‘ClickFix’ 수법에서 시작한다. 악성 광고나 검색 결과 조작을 거쳐 나타난 안내 화면이 이용자에게 명령어 실행을 요구하고, 이를 따라 하면 cmd.exe나 PowerShell 등 정상 윈도우 도구가 공격에 동원된다. 이후 악성코드 전달과 탐지 회피 방식은 서로 갈린다.

첫 번째 경로는 HTTPS 기반 WebDAV 공유에서 DLL을 불러온 뒤 난독화된 PowerShell과 Python 로더를 차례로 실행한다. 악성 구성요소는 정상 소프트웨어 업데이트처럼 보이는 예약 작업을 만들어 로그인 때마다 실행되도록 하고, 파일 시간 정보를 신뢰할 수 있는 윈도우 바이너리와 맞추거나 PowerShell 명령 기록을 지우는 방식으로 흔적을 줄인다.

일부 사례에서는 블록체인 서비스가 후속 페이로드나 명령제어 서버 주소를 찾는 데 쓰였다. Microsoft는 공개 블록체인 RPC 엔드포인트와 웹3 노드 인프라를 조회하는 ‘EtherHiding’ 변형을 확인했다. 공격자가 악성코드를 다시 배포하지 않고도 연결 정보를 바꿀 수 있어 탐지와 차단이 어려워질 수 있다는 설명이다.

두 번째 경로는 MSHTA와 난독화된 PowerShell을 이용해 디스크에 남는 파일을 최소화한다. 공격자는 공개 이미지 호스팅 서비스의 JPEG 픽셀 안에 악성 페이로드를 숨긴 뒤 메모리에서 복호화하고 실행했다. 파일 기반 보안 검사와 사후 분석을 피하려는 스테가노그래피와 메모리 실행 기법이 결합된 형태다.

최종 목적은 두 경로 모두 같다. ACR Stealer는 Chromium 계열 브라우저의 저장된 비밀번호와 쿠키, 인증 토큰을 수집하고 윈도우 DPAPI를 이용해 보호된 정보를 해독하려 한다. PDF와 Microsoft 365 문서, OneDrive·SharePoint에 동기화된 파일도 수집 대상으로 확인됐다. 다만 Microsoft는 특정 피해 조직이나 국가, 전체 피해 규모는 공개하지 않았다.

Microsoft는 명령어를 복사해 실행하도록 유도하는 가짜 인증 화면을 경계하고, PowerShell·Python·MSHTA·Rundll32가 인터넷에서 받은 콘텐츠를 실행하지 못하도록 애플리케이션 제어와 공격 표면 감소 규칙을 적용할 것을 권고했다. 예약 작업 위장, PowerShell 기록 삭제, 브라우저 데이터베이스 비정상 접근도 함께 점검해야 한다.

출처: Microsoft Security Blog https://www.microsoft.com/en-us/security/blog/2026/07/16/acr-stealer-two-observed-intrusion-chains-amid-increased-threat-activity/