발행 글 (2454)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

'FakeGit' 캠페인은 AI 기술이나 MCP 서버를 위장한 악성 GitHub 저장소를 통해 SmartLoader 및 StealC 말웨어을 배포하는 대규모 공격으로, 해당 저장소들은 공공 AI 등록부에 수천 번 이상 노출되어 있습니다. Island 연구원은 이 기법이 'AgentBaiting'(에이전트 유혹)이라 불리며, ChatGPT 등 AI 에이전트가 README 파일을 분석하여 악성 설치 코드를 제안함으로써 사용자들에게 접근성을 높인다고 밝혔습니다.

러시아어 화자가 공개된 프론티어 모델을 분해하여 공격적 보안 도구를 연동했다.

해커들이 WordPress 코어에 영향을 미치는 wp2shell 취약점 (CVE-2026-63030 및 CVE-2026-60137) 을 악용하여 원격 인증 없이 코드 실행을 수행하고 지속적 웹쉘과 악성 플러그인을 설치하는 공격이 발생했습니다. 보안 기업 Wiz 는 해커들이 취약한 WordPress 설비를 대량 스캔하고, 관리자 사용자명 및 이메일 주소를 수집하며, wp-config 파일을 통한 로컬 파일 포함 시도와 원격 명령 실행용 REST API 를 노출하는 등 다양한 활동을 수행했다고 밝혔습니다.

wp2shell 취약점은 인증 없이도 원격 코드 실행과 사이트 완전 관리를 가능하게 하며, 패치 출시 후 수 시간 내에 악성 활동이 시작되었다는 사실은 원문에 명시되어 있다. 해커들은 방문자에게 가짜 로그인 페이지를 표시하거나 브라우저 기반 멀웨어를 배포하여 자격증명 탈취와 사기 유도를 시도한다. 또한 추적 프로파일링을 통해 피해자를 모니터링하고, 검색 엔진 경고 및 신뢰도 하락과 같은 부수적 피해를 입힌다.

Cato CTRL의 연구에 따르면, 'Trim'이라는 핸들의 사이버 범죄자가 Claude Opus의 안전 필터를 우회하는 탈옥 기법을 공유한 지 3개월 만에 이를 기반으로 한 상용 공격용 AI 펜테스트 플랫폼을 개발했습니다. 'AI Pentest Checker'라 불리는 이 도구는 텔레그램에서 구매한 Claude API 키와 유출된 시스템 프롬프트를 활용해 Claude Opus 4.8 및 GLM-5 모델을 제어합니다. 해당 플랫폼은 14개의 기존 스캐닝 도구와 AI 엔진을 결합하여 대상 도메인을 스캔하고 10분 이내에 취약점 PDF 보고서를 생성합니다.

Black Kite가 발표한 보고서에 따르면 2026년 6월 기준 활동 중인 랜섬웨어 그룹은 146개로, 전년 동기의 105개에서 크게 증가했습니다. 2026년에만 61개의 신생 랜섬웨어 그룹이 나타나 매주 1개 이상 등장한 셈이지만, 활성 그룹의 평균 수명은 2024년 1년 이상에서 4.9개월로 단축되었습니다. 또한 2025년 3월부터 2026년 3월 사이 공개된 피해 사례의 44%는 Qilin, Akira, INC Ransom, Play, SafePay 등 상위 5개 랜섬웨어 조직에 의해 발생했습니다.

미국 연방수사국(FBI)의 인터넷범죄신고센터(IC3)는 고위 간부를 사칭한 딥페이크 영상과 모방 웹사이트를 활용해 기존 사기 피해자들을 다시 노리는 피싱 캠페인을 경고했습니다. 사기범들은 소셜 미디어 사칭, 생성형 AI 영상, 가짜 신고 포털을 결합하여 피해자의 금융 정보와 개인정보를 수집하거나 악성 코드를 유포했습니다. FBI는 딥페이크 식별을 위해 왜곡된 손 모양, 어색한 장신구 및 그림자, 음성 지연 현상 등을 주의 깊게 관찰할 것을 당부했습니다.

Siemens IAM Client 의 비표시된 검색 경로 취약점으로 인해 인증된 로컬 공격자가 권한 상승을 수행할 수 있습니다. Siemens 는 영향을 받은 제품군에 대한 최신 버전 업데이트를 권장하고 있으며, 아직 패치가 제공되지 않은 제품에 대해서는 대응 조치를 취하라고 권고했습니다.

Siemens Opcenter X V2604 이전 버전에는 인증 우회 취약점이 포함되어 있어 공격자가 전체 무단 접근을 할 수 있습니다. 이 문제는 JSON Web Token (JWT) 헤더에 지정된 알고리즘을 제대로 검증하지 않아, 인증되지 않은 원격 공격자가 임의 JWT 를 조작하고 관리자 계정을 포함한 모든 사용자를 위장할 위험이 있습니다.

Group-IB 연구원들이 발견한 새로운 악성코드 'ClickLock Stealer'는 클릭피싱 페이지를 통해 macOS 사용자의 비밀번호 및 브라우저, 암호화폐 지갑 데이터를 도난당하게 하고 영구적인 백도어를 남긴 뒤 시스템을 잠그는 모듈러식 정보 탈취 프로그램이다. 이 바이러스는 사용자가 명령을 따르지 않으면 Finder 등 주요 프로세스와 웹 브라우저를 모두 종료하는 '킬 루프'를 210 밀리초마다 반복하며, 최대 83 시간 동안 시스템이 작동하지 않도록 강요한다.

Group-IB가 최근 발견한 HollowGraph 말세는 Microsoft Graph API 와 이스라엘의 침해된 365 계정을 활용하여 명령 및 제어 (C&C) 통신을 수행한다. 이 악성코드는 캘린더 이벤트를 통해 암호화된 파일을 전송하고, 향후 2050 년 5 월 13 일로 날짜를 설정해 소유자의 경고를 피하며 RSA 와 AES 하이브리드 암호화를 사용한다.

사이버보안 소프트웨어 제공업체 크랜웨어(Craneware)는 데이터 환경에 대한 무단 접근으로 인한 보안 사고를 확인하고, 파일 이름과 일부 직원 및 고객/파트너 기록의 탈취가 발생했다고 공표했다. 이 사건은 영국 정보보호위원회와 미국 연방수사국(FBI)을 포함한 기관들에게 통보되었으며, 서비스 중단 없이 진행되고 있다. 크랜웨어는 약 2000 개의 병원 및 건강 시스템과 협력하며 의료 공급망 중심에 위치해 있어 공격 대상이 되고 있으며, 일부 전문가들은 사고의 규모가 실제 위험성을 가질 수 있다고 우려하고 있다.