발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

사이버보안 연구자들이 BraZetsu라는 정교한 파이썬 기반 윈도우 악성코드 프레임워크를 공개했으며, 이는 손상된 호스트에 대한 접근 권한을 지하 마켓플레이스에서 상업화하는 데 사용된다. BraZetsu는 초기 접근 브로커(IAB)들을 지원하는 포괄적인 마스터 툴킷으로, 모듈식 아키텍처와 스텔스 기법을 활용하여 분석 당시 일부 샘플이 VirusTotal에서 완전히 탐지되지 않았다. Exilware로 추적되는 위협 행위자들은 포르투갈어 모국어 사용자로 추정되며, 주로 이베리아 및 라틴 아메리카의 전자상거래, 금융, 산업 등 다양한 분야를 대상으로 한다. BraZetsu는 생성형 AI를 악성코드 개발 및 백엔드 데이터 분류에 활용하며, 감염된 마켓플레이스(Banco de Infects)라는 플랫폼에서 손상된 호스트에 대한 초기 접근 권한을 약 5.80달러의 초기 예치금으로 판매한다.

캡슐 시큐리티(Capsule Security)가 의도된 범위를 벗어나 비정상적으로 작동하는 자율 AI 에이전트를 실시간으로 차단하는 'AI 서킷 브레이커' 솔루션을 발표했습니다. 이 솔루션은 특화된 자체 AI 모델을 활용해 대기 시간을 줄이고 에이전트의 실행 경로 내에서 동작을 평가하며, 최대 96.9%의 탐지 정확도와 최저 71밀리초의 신속한 판단 성능을 제공합니다. 이를 통해 기업은 에이전트가 행동을 실행하기 전에 의도를 미리 평가하여 잠재적 피해를 사전에 방지할 수 있습니다.

사이버 범죄자들이 임원을 사칭하고 가짜 기업 인수 거래와 비밀유지계약서(NDA)를 활용해 거액의 송금을 유도하는 '팬텀 딜(Phantom Deal)' 캠페인이 발견되었습니다. 공격자들은 악성코드나 도용된 이메일 계정 대신 왓츠앱 메시지와 정교한 서류를 이용해 피해자들을 속이고 공인되지 않은 채널로 대화를 유도했습니다. 젠 디지털(Gen Digital)의 법무팀 직원이 사칭을 알아차려 피해를 막았으며, 조사 과정에서 유사한 형식의 가짜 NDA를 받은 다른 4건의 표적 사례도 확인되었습니다.

기업 이사회가 실제 보안성을 입증할 것을 요구하는 상황에서 CVE 폭증과 CVSS 점수의 유용성 한계로 인해 전통적인 취약점 관리 방식이 한계에 직면하고 있습니다. 연간 발생하는 막대한 취약점으로 인해 미국 NIST의 국가취약점데이터베이스(NVD) 업무가 장기간 지연되었으며, CVSS 점수의 주관성 및 실효성에 대한 문제도 제기되고 있습니다. 이에 따라 단순 패치를 넘어 실제 위협 노출을 지속적으로 관리하는 CTEM(Continuous Threat Exposure Management) 방식이 대안으로 주목받고 있습니다.

해커들이 ScreenConnect 원격 지원 도구를 악용하여 Windows 시스템 간에 웜 같은 악성코드를 전파하고 있습니다. 공격은 사회공학, 피싱, 가짜 기술 지원 상호작용을 통해 시작되며, 피해자가 원격 접근을 허용하거나 설치 프로그램을 실행하면 공격자가 무단 클라이언트를 설치합니다. 감염된 ScreenConnect 클라이언트는 파일 전송 기능을 이용해 연결된 시스템에 4단계 VBS 스크립트 체인을 전달하여 추가 도구 배포, 권한 상승, Windows 보호 약화, 암호화폐 채굴 등을 수행할 수 있습니다. Huntress 연구원들은 8월 말 여러 조직의 중대 사건에서 이 패턴을 발견했으며, 신뢰할 수 있는 관리 도구가 공격자에게 제어되면 배포 채널로 악용될 수 있음을 보여줍니다.

WordPress 플러그인 Elementor Pro의 심각한 취약점(CVE-2026-32475)이 공격에 악용되고 있으며, 웹셸 페이로드를 전달하고 서버에서 임의의 명령을 실행할 수 있다. 이 취약점은 파일 업로드 배열의 검증 오류로 인해 발생하며, 버전 4.2.1 이하에 존재한다. 공격자는 첫 번째 배열 요소를 비워두고 두 번째 요소에 악성 PHP 파일을 제출하여 검증을 우회할 수 있으며, 업로드된 파일은 /wp-content/uploads/elementor/forms/ 디렉토리에 저장되어 원격 명령 실행이 가능하다. 8월 19일 패치 이후 Wordfence는 클라이언트를 대상으로 약 190,000건의 공격 시도를 차단했다.

연구자 Chaotic Eclipse가 Avast 안티바이러스의 권한 상승 제로데이 취약점을 발견했다고 주장하며 PrettyPrague라는 공개 PoC(개념 증명)를 공개했다. 이 취약점은 완전히 패치된 Avast 안티바이러스와 Windows 11 25H2 시스템에서 악용 가능하며, Avast Sandbox 컴포넌트의 결함을 통해 Windows SAM 데이터베이스에 접근하고 NT AUTHORITY\SYSTEM 권한으로 명령 셸을 실행할 수 있다. 연구자는 AVG 및 Norton 등 다른 GenDigital 제품도 영향을 받을 수 있다고 추측했으나 기술적 증거는 제시하지 않았으며, 공개 PoC는 방어자와 악의적 행위자 모두의 테스트 위험을 증가시킨다.

연구진에 따르면 이 사건은 최첨단 AI 에이전트가 공격 타임라인을 대폭 단축하고 대규모 침해를 조율할 수 있음을 보여준다.

해커들이 피싱 이메일에 QR 코드를 삽입하여 로그인 자격증명을 탈취하는 '퀴싱(quishing)' 공격을 사용하고 있다. 이 방법은 위험한 웹 주소를 QR 코드로 숨겨 사용자가 휴대폰으로 스캔하도록 유도하며, 사람들이 의심스러운 링크는 피하지만 QR 코드는 일상적인 단축키로 인식하는 습관을 악용한다. ESET의 보고서에 따르면 2026년 상반기에 QR 코드 피싱이 기록적 수준에 도달했으며, 4월에 최고 볼륨을 기록했고, ESET이 탐지한 피싱 이메일의 약 11%가 QR 코드를 사용했다.

피싱-서비스형(PaaS) 운영 조직인 Outsider Phishing Kit이 ChenLun이라는 위협 행위자에 의해 운영되고 있으며, Group-IB 연구팀이 2025년 12월부터 2026년 5월 사이에 54개 이상의 국가를 대상으로 100,000개 이상의 피싱 페이지를 추적했다. Google의 민사소송(6월 12일)과 FBI의 Operation Ghost Hook(6월 13일)을 통한 조직적 차단 이후에도 700개 이상의 새로운 피싱 페이지가 한 달 내에 식별되었으며, FBI는 핵심 관리자 서버, Shopify 상점, 약 $100,000의 지갑 자금, 수천 개의 도메인을 압수했다. Outsider Phishing Kit은 금융 서비스, 중개업체, 통신사, 우편 서비스, 정부 및 통행료 시스템을 대상으로 하는 267개의 사전 제작된 피싱 템플릿을 포함하고 있으며, SMS와 Telegram 생태계를 통해 배포되었다.

정보 유출 악성코드(인포스틸러) 로그에 기업 계정 정보가 포함되는 사례가 늘어나면서 단순 비밀번호 재설정만으로는 해결하기 어려운 보안 위협이 되고 있습니다. 인포스틸러는 비밀번호 외에도 브라우저 쿠키 등 활성 세션 정보를 탈취하므로 공격자가 MFA 인증 없이도 기업 애플리케이션에 침투할 수 있습니다. Flare Research에 따르면 기업 자격 증명이 포함된 스틸러 로그의 약 46%가 비관리형 또는 개인 기기에서 비롯되며, SaaS 및 클라우드 서비스 관련 노출은 연간 약 29% 증가하고 있습니다.

macOS용 HP Easy Start에서 공격자가 프린터 소프트웨어 설치 워크플로를 방해하고 권한을 상승시킬 수 있는 고위험 취약점 3개가 발견되었습니다. CVE-2026-12554, CVE-2026-12555, CVE-2026-12556으로 추적되는 이 취약점들은 다운로드 메커니즘, 임시 파일 처리, 네트워크 전송 설정에 영향을 미칩니다. 해당 결함은 2.16.7.260722 이전 버전에 영향을 미치며, HP는 문제를 해결한 패치 버전을 출시했습니다.