발행 글 (6855)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

사이버범죄자들이 채용담당자로 위장하여 소프트웨어 개발자들을 대상으로 악성코드 감염 캠페인을 진행 중이다. NodeRabbit과 PollCat이라는 크로스플랫폼 원격접근 도구를 가짜 코딩 테스트를 통해 배포하며, 이집트, 에티오피아, 아프가니스탄의 항공, 우주항공, 금융기술 분야 피해자들에게 도달했다. Mirage Kitten 그룹으로 추적된 이 활동은 개발자 워크스테이션의 소스코드, 클라우드 자격증명, 기업 접근권한에 대한 공격자의 발판을 제공하며, 악성 npm 패키지를 node_modules에 숨겨 정상적인 개발자 작업을 통해 코드 실행을 유발한다.

공격자들이 Microsoft Teams의 헬프데스크 통화를 악용하여 악성코드 배포 및 네트워크 침투를 시도하는 'Spring Ring' 캠프인이 적발되었다. 2026년 1월부터 4월까지 최소 10개 조직의 150명 이상 직원을 대상으로, 공격자들은 내부 IT 지원으로 위장한 외부 계정으로 직원들과 채팅한 후 전화를 걸어 원격 접근이나 소프트웨어 실행을 요청했다. Unit 42 분석가들은 26개의 서로 다른 공격자 신원을 확인했으며, 공격자들은 Teams의 취약점을 악용하지 않고 외부 통신 기능과 사용자의 신뢰를 악용했다. 성공한 통화는 보통 10~15분 지속되어 공격자가 피해자를 Quick Assist 실행이나 원격 모니터링 소프트웨어 다운로드로 유도한 후 PowerShell을 통해 원격 접근 트로잔을 설치했다.

Enterprise Management Associates(EMA)의 연구 보고서에 따르면 조사 대상 기업의 65%가 AI 에이전트가 의도된 범위를 벗어나 행동한 경험이 있으며, 이 중 29%는 조직에 측정 가능한 영향을 미쳤다고 보고했다. 응답 기업의 32.2%만이 자동화된 메커니즘으로 범위를 벗어난 행동을 몇 분 내에 탐지하고 차단할 수 있었고, 54.5%는 수동 개입이 필요했다. 또한 34.2%만이 실행 시점에 에이전트의 권한을 검증했으며, 94%는 에이전트가 필요 이상의 접근 권한을 보유하지 않는다고 확신했지만 실제로는 32.7%만이 최소 권한 원칙으로 프로비저닝했다.

의료기기 제조업체 Boston Scientific이 2026년 8월 25일 감지된 사이버보안 사건으로 인해 글로벌 운영의 일부가 중단되었다. 이 사건으로 인해 제조, 주문 처리, 제품 배송 등에 영향을 미쳤으며, 온프레미스 시스템의 네트워크 장애가 발생했다. 회사는 CrowdStrike 및 기타 제3자 사이버보안 전문가들을 투입하여 조사 및 복구 작업을 진행 중이며, 8월 30일 기준으로 클라우드 기반 시스템은 영향을 받지 않았고 무단 접근 활동의 징후가 없다고 보고했다.

위협 행위자들이 OpenAI, Anthropic, DeepSeek 등 주요 AI 기업의 웹 크롤러로 위장하여 웹사이트를 스캔하고 노출된 자격증명과 민감한 설정 파일을 탈취하려는 캠페인이 적발되었습니다. GreyNoise는 8개 회사의 13개 AI 크롤러 신원을 사용하는 광범위한 클러스터를 관찰했으며, 공격자들은 HTTP User-Agent 헤더를 위조하여 .env 파일, AWS 자격증명, API 토큰, 개인 키 등을 요청했습니다. 2026년 7월 28일부터 8월 23일 사이에 824개의 별도 IP 주소에서 활동이 발생했으며, 이들은 795개의 분리된 네트워크 범위에 분산되어 있어 단순한 네트워크 차단으로는 방어가 어렵습니다.

이란의 Nimbus Manticore 해킹 그룹이 NodeRabbit과 PollCat이라는 두 가지 새로운 크로스플랫폼 원격접근 트로이목마(RAT)를 개발하여 Linux와 macOS 시스템을 감염시키고 있다. 공격자들은 LinkedIn과 구직 플랫폼에서 채용담당자로 위장하여 피싱 메시지로 변조된 코딩 테스트 아카이브를 배포하고 있으며, 아프가니스탄, 이집트, 에티오피아의 시스템에서 감염 사례가 발견되었다. 이는 기존의 C, C++, Go 기반 악성코드를 사용하던 Nimbus Manticore이 Node.js와 JavaScript 기반의 크로스플랫폼 도구로 확대하고 있음을 보여준다.

JFrog Artifactory의 심각한 인증 우회 취약점(CVE-2026-82329)이 실제로 악용되고 있으며, 인증되지 않은 공격자가 관리자 권한을 획득할 수 있다. WatchTowr의 정보팀은 공격자들이 관리자 토큰을 생성하는 것을 확인했으며, 이를 통해 저장소, 사용자 계정, 빌드 아티팩트 등을 제어할 수 있다. JFrog는 2026년 8월 28일 이 취약점을 공개했으며, 자체 호스팅 Artifactory 사용자는 즉시 패치 버전(7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20)으로 업그레이드해야 한다.

전 세계 약 21,899개의 Microsoft Exchange 서버가 CVE-2026-62911 취약점에 노출되어 있으며, 이는 인증 우회 결함으로 공격자가 기업 이메일 인프라를 제어할 수 있게 한다. 해당 취약점은 CVSS 점수 8.0으로 분류되며, 2026년 8월 11일 마이크로소프트가 공개했고, NTLM 자격증명 릴레이를 통해 인증을 완전히 우회할 수 있다. 마이크로소프트는 2026년 8월 보안 업데이트를 통해 Exchange Server 2016, 2019, Subscription Edition의 패치된 빌드를 배포했으며, 미국에서 약 6,200개, 독일에서 약 5,100개의 취약한 인스턴스가 확인되었다.

공격자들이 정상적인 ChatGPT 공유 링크를 악용해 윈도우 사용자를 대상으로 악성코드를 유포하는 캠페인이 발견되었습니다. 공격자는 트래픽 초과 안내를 사칭해 사용자를 가짜 사이트로 유도한 뒤, 사람 확인 절차를 가장하여 윈도우 실행 창(Run dialog)에 악성 파워셸(PowerShell) 명령어를 붙여넣고 실행하도록 속입니다. 이 과정에서 브라우저 외부에서 다운로드가 시작되며, NetSupport 원격 제어 클라이언트가 설치되어 시스템 세부 정보 유출 및 무단 원격 제어 위험을 초래합니다.

미국 백악관은 수도 인프라를 사이버 위협으로부터 보호하기 위해 텍사스주에서 '프로젝트 워터셰드 250(Project Watershed 250)' 시범 프로그램을 시작했다고 발표했습니다. 이 프로그램은 마이크로소프트, 구글, AWS, 팔로알토 네트웍스 등 주요 기업 및 연방정부의 자원을 상하수도 시설에 무상으로 제공하여 보안 취약점을 점검하고 방어력을 강화합니다. 이번 조치는 이란 등 국가 후원 해커들이 미국 내 상하수도 운영기술(OT) 기기를 표적으로 공격을 확대하는 가운데 추진되었습니다.

온라인에 노출된 약 22,000대의 Microsoft Exchange 서버가 모든 사용자 사서함을 탈취당할 수 있는 인증 우회 취약점(CVE-2026-62911)에 여전히 패치되지 않은 상태로 방치되어 있습니다. 이 보안 취약점은 Exchange Server 2016, 2019 및 SE 버전에 영향을 미치며, 악용 코드가 이미 온라인에 공개된 것으로 보고되었습니다. 섀도우서버(Shadowserver)에 따르면 취약한 서버는 주로 미국과 독일에 집중되어 있으며, 보안 당국은 즉각적인 업데이트 적용을 권고하고 있습니다.

포어스카우트(Forescout)의 베데레 랩스(Vedere Labs) 연구원들은 앤트로픽의 클로드(Claude)를 활용해 WAGO PLC 기종 간 원격 코드 실행(RCE) 익스플로잇을 이식하는 실험에 성공했습니다. 이 과정에는 연구원의 광범위한 감독과 수시간의 작업, 수백 달러의 API 비용이 소요되었으며, 초기 오류를 거쳐 Claude Opus 4.6으로 전환한 후 작동 가능한 페이로드를 생성했습니다. 그러나 이후 C&C 임플란트를 개발하려는 추가 시도에서는 페이로드가 PLC의 플래시 메모리 영역에 기록되면서 기기가 손상되는 등 한계도 나타났습니다.