발행 글 (6843)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

미국 법무부는 2016년부터 2017년 사이 프리랜서 플랫폼 이용자 약 8만 명에게 악성코드를 유포한 혐의를 받는 러시아 국적의 세아르주딘 타밀라노비치 악툴라예프를 키프로스에서 체포해 미국으로 인도했다고 발표했습니다. 공소장에 따르면 악툴라예프와 공모자들은 약 255개의 가짜 계정을 통해 악성 매크로가 포함된 엑셀 파일을 전송하여 TVRAT 및 DarkVNC와 같은 원격 제어 트로이목마(RAT)를 유포했습니다. 탈취된 피해자 데이터와 개인식별정보(PII)는 사기 등의 범죄에 활용되었으며, 유죄가 인정될 경우 악툴라예프는 최대 수십 년의 징역형에 처해질 수 있습니다.

Manifold Security가 Claude, Codex, Cursor 등 7개의 AI 코딩 에이전트에서 8개의 보안 취약점을 공개했다. 이 취약점들은 저장소의 Git 설정 파일(.git/config)에 포함된 명령어를 에이전트가 사용자의 머신에서 샌드박스 외부로 실행하게 하며, 공격자가 사용자의 권한으로 코드를 실행할 수 있다. 공격은 .git 디렉토리가 포함된 파일 형태로 저장소가 전달될 때 가능하며, goose, Claude Code, Cursor는 패치되었으나 Hermes Agent, Qwen Code, Grok Build 등은 9월 1일 재테스트 시점에 여전히 취약했다.

랜섬웨어 운영자들이 TukTuk이라는 새로운 원격 제어 프레임워크를 사용하여 자격증명을 탈취하고 보안 도구를 비활성화하며 감염된 시스템을 감시하고 있다. Oasis Security 분석가들이 발견한 이 도구는 Gentlemen 랜섬웨어 작업과 연결되어 있으며, Windows와 Linux 에이전트, 백엔드, 운영자 패널을 포함하고 있다. 서버에서 회수된 자료에는 EDR 비활성화 도구, 두 개의 대규모 조직에서 탈취된 것으로 추정되는 데이터, 그리고 기술 회사의 224개 Jira 티켓과 의료 조직의 클라우드 및 인프라 자격증명이 포함되어 있었다.

MSP(관리형 서비스 제공자)를 위한 랜섬웨어 보호는 노출 감소, 암호화 전 활동 탐지, 24/7 대응, 격리된 복구 지점 보존, 깨끗한 복구, 테넌트 전체 일관된 운영의 6가지 결과를 제공해야 한다. Acronis 사이버위협 보고서에 따르면 2025년 143개 MSP 및 IT 서비스 제공자가 랜섬웨어 피해를 입었으며, 초기 접근의 52%는 피싱, 27%는 패치되지 않은 취약점을 통해 발생했다. 백업만으로는 부족하며, 연습된 복구 경로 없는 엔드포인트 탐지도 불충분하다. 각 제어 항목마다 정확한 테넌트, 워크로드, 스토리지 구성 및 서비스 계층에 대한 증거를 요구해야 한다.

중국어권 사이버범죄 집단 'Gambling Goblin'이 브라질 정부 및 교육기관의 웹서버에 악성 Apache 모듈을 설치하여 방문자를 온라인 도박 및 스포츠 베팅 페이지로 리다이렉트하는 캠프인을 진행 중이다. Check Point Research는 2025년 중반부터 이 캠프인을 추적했으며, 공격자들은 역프록시를 통해 정상 도메인으로 위장한 피싱 페이지로 트래픽을 돌리고 보안 헤더를 제거하여 악성 콘텐츠를 실행한다. 공격자들은 검색 엔진 최적화(SEO) 조작을 목표로 고평판 도메인(특히 브라질 정부 사이트)을 연쇄적으로 악용하며, DownPro, AlphaAgent, oRAT 등 다양한 악성 도구를 배포한다.

Anthropic은 기업들이 민감한 데이터 제어를 유지하면서 AI 오용을 모니터링할 수 있도록 하는 Enterprise Frontier Safeguards(EFS)라는 새로운 솔루션을 발표했다. EFS는 제로 데이터 보유 원칙을 적용하여 모니터링 데이터를 고객이 제어하는 클라우드 인프라에 저장하며, 자동화된 시스템이 의심 활동을 감지하고 고객 팀에 알린다. 이 솔루션은 올 가을부터 단계적으로 출시될 예정이며, Fable 5, Fable 5.1, Claude Code, Claude Enterprise, Claude Platform, Amazon Bedrock 등 여러 플랫폼에서 지원될 것이다.

Malwarebytes의 위협 연구 데이터에 따르면 사기범들이 성공 확률을 높이기 위해 사기 유형별로 특정 플랫폼을 맞춤형으로 공략하는 전략을 취하고 있습니다. 통행료 사기의 90%는 이메일이나 문자로 유입되고 로맨스 스캠의 약 60%는 소셜 미디어를 통해 시작되는 등 사기 유형에 따라 선호되는 경로가 다르게 나타났습니다. 전체적으로는 웹을 통한 사기 접근이 여전히 가장 많았으며, 인물 사칭 사기에서는 유튜버 'MrBeast'가 사칭 빈도 1위를 기록했습니다.

록웰 오토메이션이 산업용 자동화 제품 전반에서 발견된 12개 이상의 취약점에 대한 패치 또는 해결책을 공개했다. RSLinx Classic 통신 소프트웨어의 4개 심각도 높은 서비스 거부(DoS) 취약점을 악용하면 서비스가 중단되어 재시작이 필요하다. FactoryTalk Historian에서는 원격 코드 실행 취약점이, FactoryTalk Activation Manager에서는 권한 상승 취약점이 패치되었으며, ArmorStart Distributed Motor Controllers에서는 XSS 취약점이 해결되었다.

연구자들이 Claude AI를 활용하여 WAGO 750-831 PLC에 대한 인증 전 원격 코드 실행(RCE) 익스플로잇을 포팅했으며, 자격증명 없이 ARM 셸코드를 실행하는 데 성공했다. CVE-2021-31886 버퍼 오버플로우 취약점을 대상으로 했으며, 이는 Nucleus FTP 서버의 USER 명령에서 사용자명 길이 검증 부재로 인한 것이다. Claude AI는 메모리 주소, 함수 오프셋, 셸코드 저장 영역을 식별하는 데 도움을 주었으나, 초기에는 잘못된 코드 경로를 따랐고 연구자의 상당한 개입이 필요했다. 최종적으로 FTP 명령 시퀀스를 USER와 CWD로 변경하고 CRLF 종료자를 생략하여 메모리 버퍼 보존 문제를 해결했고, 공격자 제어 시스템으로 ICMP 에코 요청을 보내는 페이로드를 생성했다.

Dropbox는 Lenovo의 이메일 인증 결함을 악용한 무단 접근으로 일부 사용자 계정이 침해되었다고 경고했습니다. 공격자는 Lenovo의 결함을 이용해 사용자의 이메일 주소로 허위 Lenovo ID를 등록한 후, 이를 통해 해당 이메일로 가입된 Dropbox 계정에 접근했습니다. 침해는 8월 4일부터 21일 사이에 발생했으며, Dropbox는 Lenovo ID를 통한 모든 세션을 만료하고 추가 보안 조치를 시행했습니다.

메타 광고를 통해 스페인어 사용자를 대상으로 기기 제어 권한을 탈취하는 신종 안드로이드 뱅킹 트로이목마 StreamRat이 유포되었습니다. 가짜 TV 스트리밍 광고로 유인된 사용자가 APK 파일을 다운로드해 설치하면, 드로퍼가 홈 앱 및 VPN 권한을 요구한 뒤 최종 페이로드를 내려받습니다. 이후 StreamRat이 접근성(Accessibility) 권한을 획득하면 공격자는 키로깅, 인증 정보 탈취용 오버레이 표시, 원격 기기 제어 등을 수행할 수 있습니다.

파일 전송 애플리케이션 Cleo Harmony의 인증 우회 취약점(CVE-2026-84115)에 대한 익스플로잇이 공개되었다. 이 취약점은 JWT 리프레시 토큰 로직에 영향을 미치며, 공격자가 HTTP 헤더의 bearer 토큰을 조작하여 권한 상승을 수행할 수 있다. 익스플로잇 공개로 인해 Cleo Harmony 사용 조직들의 위험이 크게 증가했으며, 버전 5.8.1.11에서 패치되었으므로 즉시 업데이트가 권장된다.