발행 글 (2443)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

보안 기업 Rapid7이 공개한 마이크로소프트 셰어포인트의 주요 취약점(CVE-2026-55040) 개념 증명(PoC) 익스플로잇 코드가 실제 공격에 악용되고 있는 것으로 확인되었습니다. 해당 결함은 JWT 토큰 검증 파이프라인의 인증 우회 취약점으로, 권한이 없는 공격자가 셰어포인트 사용자나 관리자 권한을 가장하여 데이터를 수정하거나 파일을 유출할 수 있게 합니다. 위협 인텔리전스 기업 Defused는 공격자들이 Rapid7의 익스플로잇 코드를 사용해 허니팟을 공격하고 있다고 경고했습니다.

새로운 안드로이드 금융 사기 공격이 원격 제어 도구인 SpyNote와 NFC 릴레이 악성코드인 WindRelay를 결합하여 피해자의 계좌와 카드 정보를 탈취하는 것으로 나타났습니다. 공격자는 은행 직원을 사칭해 피해자가 SpyNote 앱을 다운로드하도록 유도한 후, 접근성 서비스를 악용하여 WindRelay를 추가 설치하고 피해자 명의로 대출을 신청했습니다. 이후 피해자가 카드를 기기에 태그하고 PIN을 입력하도록 안내하여 실시간 NFC 데이터를 탈취하고 단 13분 만에 부정 결제를 진행했습니다.

북한 연계 해킹 그룹 라자루스(Lazarus)가 가짜 구인 제안과 윈도우 제로데이 취약점을 악용해 주로 방산 분야를 공격하고 있다고 체크포인트 연구진이 밝혔다. 공격자들은 '드림잡 작전'을 통해 악성 DLL 사이드로딩 방식으로 MISTPEN 다운로더를 실행한 후 윈도우 AFD.sys 드라이버의 권한 상승 제로데이 취약점(CVE-2026-68820)을 악용했다. 이를 통해 공격자는 SYSTEM 권한을 획득하고 FudModule 루트킷을 배포했으며, 마이크로소프트는 보고를 받은 후 2026년 8월 11일 해당 취약점을 패치했다.

해운 및 물류 기업 Ceva Logistics가 지난 7월 29일 발생한 사이버 공격으로 유럽 내 8개 창고의 시스템 운영 및 물품 배송에 차질을 겪고 있습니다. 이로 인해 Bol, De Bijenkorf, Valve 등 고객사의 주문 배송이 지연되고 고객의 이름, 주소, 연락처 등 일부 개인정보가 유출되거나 열람되었을 가능성이 확인되었습니다. 공격의 배후나 구체적인 침입 경로 및 전체 피해 규모는 아직 명확히 밝혀지지 않았습니다.

Malwarebytes 연구진은 CCleaner 위장 다운로드 사이트(ccleanerwind[.]top)를 통해 멀티 스테이지 윈도우 악성코드를 유포하는 공격 캠페인을 발견했습니다. 가짜 CCleaner 실행 파일을 실행하면 구글 크롬에 'GhostDesk'라는 악성 확장 프로그램이 설치되어 계정 정보, 쿠키, 키 입력 기록, 스크린샷 등을 탈취하고 클립보드의 암호화폐 주소를 변조합니다. 공격자들은 동일한 기술과 명령 제어(C2) 인프라를 활용하여 가짜 7-zip 및 Adobe Acrobat 프로그램도 유포한 것으로 확인되었습니다.

인텔과 AMD가 화요일 자사 제품군에 존재하는 80개 이상의 취약점을 해결하기 위한 보안 패치를 발표했습니다. 인텔은 PROSet/Wireless WiFi 소프트웨어 및 Xeon 프로세서 등에서 권한 승격, 서비스 거부(DoS), 정보 유출을 유발할 수 있는 고위험 취약점을 포함해 총 72개 취약점에 관한 42개 보안 자문서를 공개했습니다. AMD 또한 Vitis 개발 환경, Ryzen Master Utility, SEV-SNP 등에서 임의 코드 실행 및 권한 승격 등이 가능한 12여 개의 취약점을 수정하고 5개의 자문서를 발표했습니다.

미국 의료기관 앤메드가 랜섬웨어 공격을 받아 전산 장애를 겪은 가운데, 배후로 지목된 '더 젠틀맨' 조직이 병원 공식 페이스북 계정을 장악해 환자 정보 6TB 탈취를 주장하며 협박했습니다. 서비스형 랜섬웨어(RaaS) 조직인 '더 젠틀맨'은 몸값의 90%를 제휴 공격자에게 제공하는 수익 배분 정책으로 세력을 빠르게 확대했습니다. 이들은 VPN과 방화벽 등의 취약점으로 침투한 뒤 '젠틀킬러' 같은 EDR 무력화 도구를 활용해 보안 제품을 중지시키고 데이터를 암호화·탈취하는 기법을 사용합니다.

CAV3RN은 이스라엘을 겨냥해 사용되어 온 모듈형 간첩 프레임워크로, 최근 원격 제어 트래픽을 Google Apps Script 뒤에 숨기는 새로운 통신 기능을 추가했습니다. 64비트 Windows DLL 형태인 이 모듈은 DNS 응답을 확인하여 직접 HTTPS 연결과 Google Apps Script 릴레이 방식 중 하나를 선택해 통신을 진행합니다. 이러한 우회 및 백업 통신 구조는 정상적인 클라우드 트래픽에 악성 트래픽을 숨겨 보안 탐지를 방해하고 공격자의 접근 유지를 용이하게 합니다.

Tracebit 연구진은 AWS에 저장된 비밀 정보 및 암호화 키 옆에 프롬프트 인젝션을 배치해 AI 해킹 에이전트의 공격을 차단하는 '컨텍스트 봄빙(context bombing)' 기법을 발견했다. 이 기법은 공격 측 대형언어모델(LLM)이 탄저균 개발이나 천안문 사태 언급 등 안전 가드레일에 의해 금지된 행위를 수행하도록 유도하여 모델의 작동을 중단시킨다. 다만 이 방식은 가드레일이 구축된 AI 에이전트를 대상으로만 효과가 있다.

CloudSEK 보고서에 따르면 올해 초 발생한 LiteLLM 공급망 공격으로 2,500개 이상의 조직과 43만 4,000개 이상의 CI/CD 파이프라인이 노출 영향 범위에 포함되었습니다. 이번 공격은 오픈소스 취약점 스캐너인 Trivy의 오염된 버전이 LiteLLM의 CI 파이프라인에 자동으로 설치되면서 발생했으며, 악성 코드가 담긴 LiteLLM 버전(1.82.7 및 1.82.8)이 PyPI에 게시되었습니다. 문제의 패키지는 약 40분 동안만 유지되었으나 클라우드 키, SSH 키, 토큰, AI 공급자 키 등 광범위한 민감 정보가 유출될 위험에 처했습니다.

폴란드 CERT(CERT.PL)는 2025년 12월 자국 열병합발전소를 타깃으로 발생한 사이버 공격 분석 결과를 발표했습니다. 공격자들은 풍력 발전소의 FortiGate VPN과 라우터를 침해한 후 사설 APN(Access Point Name) 네트워크에 침투하여 기본 자격 증명이 설정된 제어장치(PLC)에 접근했습니다. 이후 지멘스 PLC를 정지 모드로 전환시켜 증기 터빈과 수처리 시스템의 가동을 중단시켰으며, 이는 사설 APN을 통해 OT 네트워크에 침투한 최초의 문서화된 사례로 확인되었습니다.

법률 ERP 솔루션 기업 앤쌤과 정보보안 전문기업 한국보안인증이 AI 법률 서비스에 특화된 제로트러스트 보안 모델 구축을 위해 협력합니다. 양사는 앤쌤의 AI 법률 플랫폼 ‘CoLaw’에 한국보안인증의 다계층 2차 인증 플랫폼과 제로트러스트 데이터 금고 솔루션 ‘디포트리스’를 적용할 예정입니다. 또한, 앤쌤 AI 에이전트와 연계해 이상행위 탐지 및 실시간 위협 대응 체계를 갖춘 AI 기반 보안관제 시스템을 마련할 계획입니다.