발행 글 (6579)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

북한의 위협 행위자 'TraderTraitor'가 가짜 Terraform 채용 과제를 이용해 macOS 개발자를 공격하고 있습니다. 공격자들은 GitHub 저장소에 조작된 '.terraform.lock.hcl' 파일을 포함시켜, 'terraform init' 명령 실행 시 악성 코드가 다운로드되도록 유도합니다. 이 캠페인은 개발자 시스템에 FLATROOF 및 ROOFDECK 백도어를 설치하여 클라우드 시스템과 기업 인프라에 침투하는 것을 목표로 합니다.

사이버 공격자의 과제는 주로 기술적인 문제인 반면, 방어자는 예산 확보나 정책 승인과 같은 조직적인 문제에 더 많이 직면한다. 이는 공격자의 목표가 사이버 공격 그 자체인 것과 달리, 방어는 조직의 주된 사업이 아닌 손실 방지를 위한 '사업 비용'으로 취급되기 때문이다. 따라서 방어 활동은 마케팅이나 운영 안정성 같은 다른 사업 우선순위와 경쟁해야 한다.

Rust 프로젝트는 Rust-lang 팀원과 인기 크레이트(crate) 소유자를 대상으로 한 지속적인 사회 공학 캠페인에 대해 경고했습니다. 공격자들은 채용 제안을 가장하여 화상 통화로 유인한 뒤, 오디오 코덱 설치 등을 빌미로 악성 소프트웨어를 설치하도록 유도합니다. 이 캠페인은 개발자 자격 증명을 탈취하고 악성 패키지를 배포하는 것을 목표로 합니다. Rust 팀은 이 활동을 이전의 유사한 공격들과 연관 지었으며, 그중 하나는 북한 위협 행위자와 연결된 바 있습니다.

널리 사용되는 이미지 디코딩 소프트웨어에서 HEIF, HEIC, AVIF 파일 처리 시 원격 코드 실행으로 이어질 수 있는 'HEIF Heist' 취약점이 발견되었습니다. 공격자는 특수하게 조작된 이미지를 업로드 기능을 통해 제출하여 힙 버퍼 오버플로우를 유발하고, 이를 통해 서버 메모리 정보나 사용자 파일에 접근할 수 있습니다. 연구원들은 AI 시스템인 Claude Opus 5의 도움을 받아 이 취약점을 실제 원격 코드 실행 경로로 전환하는 개념 증명을 시연했습니다.

마이크로소프트가 서명한 윈도우 커널 드라이버를 사용하여 145개의 안티바이러스 및 엔드포인트 보안 프로세스를 비활성화하는 멀웨어 캠페인이 발견되었습니다. 보안 기능을 무력화한 후 '라푼젤(Rapuncel)'로 알려진 이 악성코드는 비밀번호, 암호화폐 지갑 데이터, 브라우저 세션 등 민감한 정보를 탈취했습니다. 공격자들은 LastPass Authenticator를 사칭한 가짜 GitHub 페이지를 통해 피해자들을 유인했습니다.

Remus는 윈도우 정보 탈취 악성코드로, EDR(엔드포인트 탐지 및 대응) 도구의 감시를 피하기 위해 시스템 호출(syscall) 후크를 제거하는 기법을 사용합니다. 이 악성코드는 브라우저 정보, 암호화폐 지갑 데이터, 비밀번호, 파일 및 AI 도구 관련 자격 증명을 수집하도록 설계되었습니다. 감염은 주로 가짜 CAPTCHA를 이용한 소셜 엔지니어링을 통해 이루어지며, 사용자가 직접 명령을 실행하도록 유도하여 보안 솔루션을 우회합니다.

프랑스 사이버보안 기업 CrowdSec은 2026년 5월 발생한 공급망 공격으로 인해 약 300개의 비공개 및 공개 GitHub 리포지토리에서 소스 코드가 도난당했다고 확인했습니다. 이 공격은 CrowdSec이 사용한 TanStack 패키지를 통해 API 키가 유출되면서 발생한 것으로 추정됩니다. CrowdSec은 고객의 자격 증명이나 데이터는 유출되지 않았으며, 도난당한 코드는 자사 환경 외부에서는 사용할 수 없어 즉각적인 위협이 되지 않는다고 밝혔습니다.

FBI는 사기범들이 경찰관이나 연방 요원을 사칭하여 피해자들을 체포하겠다고 위협하며 금전을 갈취하고 있다고 경고했습니다. 이들은 피해자가 범죄에 연루되었거나 법원 소환에 불응했다고 주장하며, 혐의를 취하하거나 벌금을 내지 않으면 투옥될 것이라고 협박합니다. 사기범들은 실제 정부 전화번호를 스푸핑하고, 선불카드나 암호화폐 등으로 지불을 요구하며, 때로는 AI 기술을 사용해 피해자를 속이기도 합니다.

대만 정부가 현지 쿠팡 이용자 20만여 명의 개인정보 유출 사고와 관련하여 쿠팡 대만 법인과 대표자에게 총 150만 대만달러의 과징금을 부과했습니다. 이번 사고는 작년 말 한국에서 발생한 쿠팡 개인정보 유출 사고를 조사하는 과정에서 확인되었으며, 공격자는 2000여 개 IP 주소를 통해 사용자의 이름, 이메일, 전화번호 등에 접근한 것으로 파악됐습니다. 조사 결과, 한국과 대만의 사용자 데이터베이스는 분리되어 있었지만 동일한 백업 키를 사용해 접근이 가능했던 것으로 드러났습니다.

Microsoft Security Research가 다단계 침입을 통해 리버스 터널을 배포하는 'TerminalFix' 멀웨어 캠페인에 대한 분석을 발표했습니다. 이 캠페인의 공격자들은 스테가노그래피 기술을 이용해 PNG 파일에 악성코드를 숨기는 특징을 보였습니다. 연구원들은 해당 PNG 파일에 대한 침해지표(IOC)를 공유했습니다.

Rust 프로젝트는 공격자들이 기여자 및 크레이트 소유자를 대상으로 기기와 계정을 탈취하려 한다고 경고했습니다. 공격자들은 그럴듯한 회사 프로필을 만들어 구직 면접이나 프로젝트 기회를 위장한 화상 통화를 통해 악성코드를 설치하도록 유도합니다. 이러한 전술은 북한의 가짜 채용 캠페인과 유사하며, 이전에도 Rust 커뮤니티를 대상으로 한 유사한 공격이 있었습니다.

지난 8월 말, 콜로라도에 위치한 두 개의 민간 수도 시설이 운영 기술(OT) 시스템을 겨냥한 사이버 공격을 받았습니다. 공격자들은 장비 설정을 변경하고 원격 접속 및 경보를 비활성화했으며 펌핑 주기를 변경했습니다. 하지만 서비스 중단은 일시적이었고 수도 서비스나 공공 안전에는 영향을 미치지 않았습니다. 당국은 공격자를 '외국 행위자'로 묘사했으며, 이란 연계 그룹의 소행 가능성이 언급되었으나 콜로라도 공격과의 연관성은 확인되지 않았습니다.