발행 글 (6830)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

Dark Reading 편집진이 ShinyHunters의 최근 활동과 AI 생성 악성코드의 유행도에 관한 새로운 연구 등 보도하지 못한 뉴스들을 영상 대화에서 논의한다.

HPE가 ArubaOS-CX 네트워크 운영체제의 중대 취약점(CVE-2026-73749)을 패치했다. 이 버퍼 오버플로우 취약점은 인증되지 않은 원격 공격자가 특수 제작된 패킷을 전송하여 권한 상승 상태에서 원격 코드 실행을 가능하게 한다. HPE는 동시에 23개의 추가 보안 취약점도 공개했으며, 영향받는 버전별 업그레이드 경로를 제시했다.

마이크로소프트는 공격자가 마이크로소프트 팀즈의 외부 협업 기능을 이용해 IT 지원 부서를 사칭하고 원격 제어 권한을 획득하는 침해 캠페인에 대해 경고했습니다. 공격자는 RMM 도구로 원격 제어를 설정한 뒤 악성 MSI 패키지와 난독화된 자바스크립트를 설치하여 내부 인프라에 접근하고 도메인 컨트롤러로 침투를 시도합니다. 한편 팔로알토 네트웍스 유닛 42는 IT 헬프데스크를 사칭해 보이스 피싱을 시도하고 RMM 실행 또는 NTLM 릴레이 공격으로 이어지는 '스프링 링(Spring Ring)' 캠페인을 확인했습니다.

새로 공개된 Beers with Talos 에피소드에서는 적대자 교전 업무를 담당하는 Azim Khodjibaev가 출연하여 위협 인텔리전스 제작 과정의 이면을 다루었습니다. 그는 다크웹 조사를 위해 한때 서로 상호작용하는 8개의 페르소나를 운영하며 위협 행위자들과 직접 접촉했습니다. 이러한 활동은 다작하는 사이버 범죄자 식별과 와해 노력에 기여했으며, 랜섬웨어 운영자가 코드에 그를 비난하는 문구를 넣는 결과로 이어지기도 했습니다.

FortiGuard Labs가 새로운 클라우드 침해 기법 'LLMjacking'을 발견했으며, 이는 유출된 AWS IAM 접근 키를 이용해 프리미엄 AI 모델에 대한 유료 접근 권한을 탈취하는 공격이다. 공격자는 최고 권한의 IAM 키를 확보한 후 피해 조직의 계정 내에 새로운 IAM 사용자를 생성하고 AWS Marketplace를 통해 기초 모델에 구독한 뒤, 모든 추론 비용을 피해 조직에 청구하도록 모델을 직접 호출한다. Claude 3 Opus 같은 프리미엄 모델의 경우 하루에 10만 달러 이상의 무단 사용료가 발생할 수 있으며, 탈취된 접근 권한은 Telegram과 Discord에서 저가 AI 챗봇 구독으로 재판매되고 있다.

Link11이 2026년 상반기 유럽 사이버 보고서를 발표했으며, 유럽 기업을 대상으로 한 DDoS 공격 수는 42% 감소했으나 공격의 강도는 사상 최고 수준을 기록했다. 최대 대역폭 공격은 2.3 Tbit/s에 달했고(전년 대비 85% 증가), 패킷 레이트는 초당 3억 2,200만 개에 도달했으며(56% 증가), 누적 트래픽은 438TB에서 705TB로 증가했다(61% 증가). 공격 수 감소는 국제 법 집행 기관의 지속적인 압력으로 인한 것으로, 2025년 7월 NoName057(16) 인프라 적발과 2026년 3월 미국·캐나다·독일 당국의 IoT 봇넷 명령 제어 서버 폐쇄가 포함된다.

가짜 무료 TV 스트리밍 서비스를 사칭해 약 57만 명의 Meta 사용자에게 노출된 악성 광고 캠페인을 통해 'StreamRat' 안드로이드 뱅킹 트로이목마가 유포되었습니다. 해당 악성 광고는 틱톡을 통해서도 확산되었으며 스페인어 사용자를 주요 표적으로 삼았습니다. 피해자가 유입된 플랫폼과 안드로이드 기기 여부를 판별한 뒤 '출처를 알 수 없는 앱 설치'를 유도했으며, 설치된 StreamRat은 화면 감시, 입력 정보 탈취, 원격 제어 등의 기능을 수행합니다.

맨체스터 공항 그룹(MAG)의 시스템 침해로 도난당한 것으로 알려진 880만 명의 이메일 주소와 전화번호 등의 데이터가 온라인에 유출되었습니다. 갈취 조직 FulcrumSec은 이번 공격의 배후를 자처하며 MAG에서 훔쳤다고 주장하는 약 550GB 규모의 비압축 데이터를 공개했고, MAG 측이 몸값을 지불하지 않았음을 인정했습니다. 또한 이 조직은 세 공항 웹사이트 프론트엔드 자바스크립트에 방치되어 있던 관리자 키를 이용해 시스템을 침해했다고 주장했습니다.

사이버보안 연구자들이 BraZetsu라는 정교한 파이썬 기반 윈도우 악성코드 프레임워크를 공개했으며, 이는 손상된 호스트에 대한 접근 권한을 지하 마켓플레이스에서 상업화하는 데 사용된다. BraZetsu는 초기 접근 브로커(IAB)들을 지원하는 포괄적인 마스터 툴킷으로, 모듈식 아키텍처와 스텔스 기법을 활용하여 분석 당시 일부 샘플이 VirusTotal에서 완전히 탐지되지 않았다. Exilware로 추적되는 위협 행위자들은 포르투갈어 모국어 사용자로 추정되며, 주로 이베리아 및 라틴 아메리카의 전자상거래, 금융, 산업 등 다양한 분야를 대상으로 한다. BraZetsu는 생성형 AI를 악성코드 개발 및 백엔드 데이터 분류에 활용하며, 감염된 마켓플레이스(Banco de Infects)라는 플랫폼에서 손상된 호스트에 대한 초기 접근 권한을 약 5.80달러의 초기 예치금으로 판매한다.

캡슐 시큐리티(Capsule Security)가 의도된 범위를 벗어나 비정상적으로 작동하는 자율 AI 에이전트를 실시간으로 차단하는 'AI 서킷 브레이커' 솔루션을 발표했습니다. 이 솔루션은 특화된 자체 AI 모델을 활용해 대기 시간을 줄이고 에이전트의 실행 경로 내에서 동작을 평가하며, 최대 96.9%의 탐지 정확도와 최저 71밀리초의 신속한 판단 성능을 제공합니다. 이를 통해 기업은 에이전트가 행동을 실행하기 전에 의도를 미리 평가하여 잠재적 피해를 사전에 방지할 수 있습니다.

사이버 범죄자들이 임원을 사칭하고 가짜 기업 인수 거래와 비밀유지계약서(NDA)를 활용해 거액의 송금을 유도하는 '팬텀 딜(Phantom Deal)' 캠페인이 발견되었습니다. 공격자들은 악성코드나 도용된 이메일 계정 대신 왓츠앱 메시지와 정교한 서류를 이용해 피해자들을 속이고 공인되지 않은 채널로 대화를 유도했습니다. 젠 디지털(Gen Digital)의 법무팀 직원이 사칭을 알아차려 피해를 막았으며, 조사 과정에서 유사한 형식의 가짜 NDA를 받은 다른 4건의 표적 사례도 확인되었습니다.

기업 이사회가 실제 보안성을 입증할 것을 요구하는 상황에서 CVE 폭증과 CVSS 점수의 유용성 한계로 인해 전통적인 취약점 관리 방식이 한계에 직면하고 있습니다. 연간 발생하는 막대한 취약점으로 인해 미국 NIST의 국가취약점데이터베이스(NVD) 업무가 장기간 지연되었으며, CVSS 점수의 주관성 및 실효성에 대한 문제도 제기되고 있습니다. 이에 따라 단순 패치를 넘어 실제 위협 노출을 지속적으로 관리하는 CTEM(Continuous Threat Exposure Management) 방식이 대안으로 주목받고 있습니다.