브라우저 알림을 이용한 진화된 파일리스 피싱 공격, Matrix Push C2의 등장

요즘 IT 인프라 환경은 AI 에이전트가 코딩 프롬프트까지 짜주는, 놀라운 속도로 발전하는 시대에 접어들었습니다. 그런데 이러한 기술적 진보의 이면에서는, 역설적으로 인간의 기본적인 취약점을 노리는 고도화된 사이버 위협 또한 끊임없이 진화하고 있습니다. 최근 발견된 ‘Matrix Push C2’는 바로 이런 트렌드를 보여주는 대표적인 사례입니다. 이 새로운 명령 제어(C2) 플랫폼은 브라우저 알림이라는 일상적인 기능을 악용해 사용자 시스템에 파일을 설치하지 않고도 교묘하게 피싱 공격을 수행합니다. IT 인프라 관리자라면 이러한 신종 파일리스 공격 기법과 그 파급력에 대해 명확히 이해하고, 선제적인 방어 전략을 수립하는 것이 매우 중요합니다.

Matrix Push C2: 교묘한 소셜 엔지니어링의 새로운 장

Matrix Push C2는 악성 링크를 배포하기 위해 브라우저 알림을 활용하는 새로운 형태의 피싱 공격 플랫폼입니다. 이 공격의 핵심은 소셜 엔지니어링에 있습니다. 공격자들은 악성 웹사이트나 이미 침해된 정상 웹사이트를 통해 사용자들을 속여 브라우저 알림 수신을 허용하도록 유도합니다. 예를 들어, “이 웹사이트의 콘텐츠를 보려면 알림을 허용해주세요”와 같은 메시지로 사용자를 현혹하는 경우가 많습니다. 사용자가 알림을 허용하는 순간, 공격자는 웹 푸시 알림 메커니즘을 이용해 마치 운영체제나 브라우저 자체에서 보낸 것처럼 위장한 가짜 알림을 전송하기 시작합니다.

흥미로운 점은 이러한 알림이 실제 시스템 메시지처럼 보인다는 것입니다. 신뢰할 수 있는 브랜드 로고와 설득력 있는 문구를 사용해 사용자의 경계심을 허물어뜨리는데, 예를 들어 “의심스러운 로그인 시도 발견”이나 “브라우저 업데이트 필요”와 같은 메시지를 보내고, 그 안에 ‘확인’ 또는 ‘업데이트’ 버튼을 넣어 가짜 웹사이트로 유인합니다. 저희 실무 경험상, 사용자들은 이런 형태의 알림을 시스템 메시지로 착각하는 경우가 많아 클릭률이 상당히 높게 나타납니다.

파일리스, 크로스 플랫폼의 위협: 기존 보안의 사각지대

이 Matrix Push C2 공격의 치명적인 특징은 ‘파일리스(fileless)’ 방식이라는 점입니다. 이는 피해자의 시스템에 직접적인 악성 파일을 설치할 필요 없이, 웹 브라우저를 통해 모든 공격이 이루어진다는 의미입니다. 즉, 전통적인 안티바이러스나 엔드포인트 탐지 및 대응(EDR) 솔루션이 파일 기반의 위협을 탐지하는 데 중점을 두는 경우, 이러한 파일리스 공격은 탐지하기 매우 어렵습니다. 마치 ClickFix 캠페인처럼, 사용자가 스스로 악성 행위를 수행하도록 유도하여 기존 보안 제어를 효과적으로 우회하는 것입니다.

또한, 이 공격은 ‘크로스 플랫폼(cross-platform)’ 특성을 가집니다. 웹 브라우저를 통해 진행되기 때문에 Windows, macOS, Linux 등 운영체제에 관계없이, 심지어 모바일 기기의 브라우저 애플리케이션까지도 공격 대상이 될 수 있습니다. 이는 공격자들에게 훨씬 넓은 범위의 잠재적 피해자 풀을 제공하며, 한번 악성 알림에 동의한 브라우저는 공격자에게 지속적인 통신 채널을 제공하는 셈입니다. IT 인프라 관점에서 볼 때, 이는 엔드포인트 보안의 사각지대가 더욱 넓어졌다는 것을 의미하며, 사용자 교육과 브라우저 레벨의 보안 강화가 필수적임을 시사합니다.

서비스형 악성코드(MaaS) 시장의 활성화와 Matrix Push C2의 기능

Matrix Push C2는 ‘서비스형 악성코드(Malware-as-a-Service, MaaS)’ 형태로 다크 웹 채널을 통해 판매되고 있습니다. Telegram과 같은 사이버 범죄 포럼에서 한 달에 약 150달러, 1년 구독 시 1,500달러에 거래되는데, 암호화폐로 결제가 이루어지는 등 전문적인 비즈니스 모델을 갖추고 있습니다. BlackFog의 CEO Dr. Darren Williams에 따르면, Matrix Push는 2025년 10월 초부터 활동이 관찰된 신생 키트로 보이며, 이전 버전이나 오래된 인프라의 흔적은 발견되지 않았습니다.

이 MaaS 플랫폼은 웹 기반 대시보드를 통해 제공되며, 공격자들은 이를 이용해 알림을 전송하고, 피해자의 실시간 활동을 추적하며, 어떤 알림에 반응했는지까지 확인할 수 있습니다. 내장된 URL 단축 서비스를 통해 피싱 링크를 생성하고, 심지어 설치된 브라우저 확장 프로그램(특히 암호화폐 지갑)까지 기록할 수 있습니다. MetaMask, Netflix, Cloudflare, PayPal, TikTok과 같은 유명 브랜드의 알림 템플릿까지 제공하여 피싱 메시지의 신뢰성을 극대화합니다. 이러한 기능들은 공격자들이 최소한의 기술력으로도 정교한 공격 캠페인을 쉽게 운영할 수 있도록 돕습니다. 실제 운영 중인 IT 서비스에서도 이런 형태의 외부 연동 서비스나 알림 채널에 대한 보안 검증이 얼마나 중요한지 다시 한번 깨닫게 되는 부분입니다.

진화하는 공격 벡터: 합법 도구의 악용 사례

Matrix Push C2의 등장은 공격자들이 초기 접근 방식을 다양화하고 사용자 시스템을 악용하는 방식이 변화하고 있음을 명확히 보여줍니다. 궁극적인 목표는 자격 증명 탈취, 데이터 유출, 암호화폐 지갑 해킹 등 금전적 이득을 취하거나 시스템 제어권을 확보하는 것입니다. 이러한 공격은 점진적으로 피해 규모를 확대할 수 있습니다.

한 가지 주목할 점은 Huntress가 2025년 11월 12일에 보고한 Velociraptor 오용 사례입니다. Velociraptor는 원래 디지털 포렌식 및 사고 대응(DFIR)을 위한 합법적인 도구이지만, 공격자들은 이를 악용하여 Windows Server Update Services(WSUS)의 취약점(CVE-2025-59287, CVSS 9.8점)을 통해 초기 접근 권한을 얻은 뒤, 시스템 정찰 및 정보 수집에 활용했습니다. 이는 공격자들이 직접 악성코드를 개발하기보다는, 이미 존재하는 합법적인 도구를 전술적으로 활용하여 탐지를 회피하고 공격 효율을 높이고 있다는 것을 의미합니다. IT 인프라 관리자 입장에서는 단순히 악성코드 유입을 막는 것을 넘어, 내부에서 사용되는 모든 도구의 오용 가능성까지 고려한 보안 정책이 필요하다는 실용적 시사점을 제공합니다.

끊임없이 변화하는 위협 속 IT 인프라 보안의 미래

Matrix Push C2와 같은 브라우저 알림 기반의 파일리스 피싱 공격은 IT 인프라 보안 환경에 새로운 도전 과제를 제시하고 있습니다. 기존의 경계선 방어 체계만으로는 이러한 지능적인 소셜 엔지니어링 기반 공격을 효과적으로 막아내기 어렵다는 현실을 직시해야 합니다. 저희가 실무에서 늘 강조하듯이, 보안은 단순히 시스템을 구축하는 것을 넘어, 지속적인 모니터링과 사용자 인식 개선이 동반되어야 합니다.

여기서 핵심은 다계층 방어 전략과 제로 트러스트(Zero Trust) 원칙의 강화입니다. 엔드포인트 보안 솔루션은 파일리스 공격 탐지 기능을 고도화해야 하며, 사용자를 대상으로 한 주기적인 보안 교육은 브라우저 알림 허용의 위험성을 인지시키는 데 필수적입니다. 또한, 웹 애플리케이션 방화벽(WAF)이나 콘텐츠 보안 정책(CSP)을 통해 악성 스크립트 실행을 방지하는 것도 중요합니다. 최신 취약점에 대한 패치 관리는 물론, Velociraptor 사례에서 보듯이 합법적인 도구의 오용 가능성까지 염두에 둔 선제적인 위협 헌팅(Threat Hunting)과 통합적인 관리가 필요합니다. 변화하는 사이버 위협 환경에서 IT 인프라의 안정성과 보안을 유지하기 위해서는 끊임없이 학습하고 대비하는 자세가 중요합니다.

참고: MATRIX PUSH C2 USES BROWSER NOTIFICATIONS FOR FILELESS, CROSS-PLATFORM PHISHING ATTACKS – The Hacker News, 2025