FBI에 따르면, 법 집행관이나 정부 관리를 사칭하는 사기로 인해 2025년 1월 이후 16억 달러가 넘는 피해가 발생했습니다. 사기범들은 주로 피해자에게 범죄 혐의가 있다고 주장하며 체포를 위협해 금전을 요구하는 수법을 사용합니다. 이 외에도 배심원 의무 불이행을 빌미로 벌금을 요구하거나, 의사와 같은 특정 직업군을 대상으로 면허를 위협하며 돈을 갈취하는 방식도 사용되었습니다.
파키스탄 연계 해킹 그룹 'Transparent Tribe'(APT36)가 인도와 아프가니스탄의 정부 및 국방 기관을 대상으로 새로운 사이버 공격을 감행했습니다. 'Operation RapidRust'로 명명된 이 캠페인에서는 RUSTYSHADE, RUSTYMOVE 등 이전에 문서화되지 않은 악성코드가 사용되었습니다. 특히 Rust 언어로 개발된 백도어 RUSTYSHADE는 암호화된 C2(명령 및 제어) 통신을 위해 비공개 깃허브(GitHub) 저장소를 사용하는 것이 특징입니다.
SEO에 최적화된 가짜 깃허브 저장소를 통해 유명 소프트웨어를 사칭하며 '라푼젤(Rapuncel)' 정보 탈취 악성코드를 유포하는 캠페인이 진행 중입니다. LastPass와 Delphos Labs가 발견한 이 캠페인은 145개의 백신 및 엔드포인트 탐지 및 대응(EDR) 제품을 비활성화할 수 있는 마이크로소프트 서명 커널 드라이버도 함께 배포합니다. Alinubx.sys라는 이름의 이 드라이버는 보안 소프트웨어를 종료시켜 라푼젤 악성코드가 감염된 기기에서 데이터를 훔칠 수 있도록 합니다.
새로운 피싱 키트인 'GhostCode'가 Microsoft의 OAuth 2.0 장치 인증 흐름의 약점을 악용하여 Microsoft 365 계정을 탈취하고 있습니다. 이 '장치 코드 피싱' 기법은 피해자를 속여 Microsoft 인증 페이지에 코드를 입력하게 하여 공격자가 인증 토큰을 획득하도록 합니다. 탈취된 토큰은 공격자가 제어하는 장치를 등록하고 피해자의 Microsoft 환경에 대한 지속적인 접근 권한을 설정하는 데 사용됩니다.
Mandiant의 보고서에 따르면 공격자들은 단순 연구를 넘어 자율 AI 에이전트를 이용해 전체 침입 작전을 수행하고 있습니다. CrowdStrike는 버그 바운티 헌터와 연관된 npm 정보 탈취 악성코드 'PhantomRaven'을 발견했으며, 이 악성코드는 CI/CD 환경 변수를 수집합니다. 또한, 나이지리아 'Black Axe' 범죄 조직의 지도자 5명이 사이버 범죄 혐의로 남아프리카에서 미국으로 송환되었습니다.
M365과 같은 협업 도구는 편리한 공유 기능을 제공하지만 데이터 보안을 어렵게 만듭니다. 많은 조직들은 사용자가 민감 정보를 누구와 공유하는지 파악하는 데 어려움을 겪고 있으며, 공유된 접근 권한은 원래의 목적이 사라진 후에도 유지되는 경우가 많습니다. 이러한 문제를 해결하기 위해, 원래 접근 권한을 부여한 파일 또는 채널 소유자를 검토 과정에 참여시키는 접근 권한 검토가 필수적인 안전장치로 제시됩니다.
Feral Wolf 랜섬웨어 그룹이 노출된 비즈니스 소프트웨어와 취약한 서버 설정을 이용해 기업 네트워크를 공격하고 있습니다. BI.ZONE의 분석에 따르면, 이들은 취약점이 있는 Atlassian Confluence 설치(CVE-2023-22515)와 보안이 취약한 1C:Enterprise 클러스터를 침투 경로로 사용했습니다. 침투 후 공격자들은 네트워크를 탐색하고 시스템 명령을 실행하여 GenieLocker 랜섬웨어로 데이터를 암호화했습니다.
Microsoft Teams는 관리자가 조직의 보안 요구사항에 맞춰 악성코드 및 보안 위협과 관련된 파일 확장자 목록을 직접 차단할 수 있도록 업데이트될 예정입니다. 'Weaponizable File Protection' 기능의 일부인 이 업데이트는 2026년 11월부터 배포될 예정입니다. 이 외에도 외부 사용자 차단, 외부 발신자의 QR 코드 흐림 처리, 의심스러운 게스트 초대 신고 기능 등 여러 보안 개선 사항이 추가될 것입니다.
새로운 Settra 랜섬웨어는 원격 관리 소프트웨어와 복구 방해 조치를 결합하여 윈도우 네트워크에 심각한 위협으로 부상하고 있습니다. 공격자들은 초기 침투 후 원격 모니터링 및 관리 도구인 MeshAgent를 설치하여 시스템을 제어하며, 한 침해 사고에서는 보안 소프트웨어를 비활성화하기 위해 취약한 드라이버를 악용하는 BYOVD(Bring Your Own Vulnerable Driver) 기법의 증거도 발견되었습니다.
새로운 랜섬웨어 변종인 Settra가 소매 및 제조 부문을 대상으로 한 공격에 사용되고 있습니다. 공격자들은 원격 모니터링 및 관리(RMM) 도구를 배포하여 지속적인 접근을 유지하고, 피해자의 복구 옵션을 비활성화하며, 취약한 드라이버를 시스템에 설치하는 등의 기법을 사용합니다. 랜섬웨어 실행 후에는 윈도우 이벤트 로그 삭제, 복구 파티션 제거 등의 조치를 통해 데이터 복구를 방해합니다.
연구원들이 인간의 개입 없이 AI 에이전트가 랜섬웨어 공격을 계획하고 실행한 캠페인을 발견했습니다. JADEPUFFER로 추적되는 이 작전은 노출된 AI 워크플로우 서버를 이용해 자격 증명을 훔치고 데이터베이스에 접근했으며, 기록을 암호화하고 몸값을 요구했습니다. 이번 공격은 Langflow의 인증 누락 취약점을 초기 진입점으로 삼았으며, AI가 결과를 평가하고 기계의 속도로 다음 행동을 선택하는 능력을 보여주었습니다.
리눅스 커널에서 로컬 공격자가 루트 권한을 획득할 수 있는 4개의 새로운 권한 상승 취약점이 공개되었습니다. DirtyAH6, TUNderflow, PPPoEject, DiagSpill로 명명된 이 결함들은 오래된 네트워킹 코드에 존재하며 커널 메모리 손상을 유발할 수 있습니다. 현재 해당 취약점들에 대한 업스트림 수정이 완료되었습니다.