발행 글 (6852)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

Microsoft가 공개한 TerminalFix는 ClickFix와 유사한 사회공학 기법(가짜 Cloudflare CAPTCHA를 통해 악성 명령어를 클립보드에 복사)으로 감염시키지만, 다른 페이로드를 전달한다. TerminalFix는 스테가노그래피로 숨겨진 PNG 이미지에서 실행 파일과 DLL을 추출하며, DLL 사이드로딩, 폴더 숨김, User-Agent 회전, 암호화된 WebSocket 트래픽 등 여러 회피 기법을 사용한다. 최종 목표는 정보 탈취가 아닌 도메인 인식 정찰 후 커스텀 역방향 TCP 터널을 설치하여 공격자에게 피해자 네트워크에 대한 원격 접근 권한을 제공하는 것이다.

보안 기업 VulnCheck에 따르면 위협 행위자들이 AI 로우코드 플랫폼인 Langflow의 심각한 원격 코드 실행(RCE) 취약점(CVE-2026-0768)을 실제 악용하기 시작했습니다. 이 결함은 커스텀 컴포넌트 에디터의 코드 검증 과정에서 발생하며, 인증 없이도 root 권한으로 임의 코드를 실행할 수 있게 하여 1.4.2 이하의 모든 버전에 영향을 미칩니다. 공격자들은 주로 러시아에서 환경 변수, 비밀 키, SSH 접근 정보를 수집하는 정찰 및 자격 증명 탈취 활동에 이 취약점을 사용하고 있습니다.

해커들이 기업 침해 시스템을 평가하고 판매하기 위해 BraZetsu라는 윈도우 기반 신종 악성코드 프레임워크를 사용하고 있습니다. Group-IB에 따르면 이 악성코드는 브라질 위협 행위자인 Exilware와 연관되어 있으며, 브라질을 비롯한 이베리아 및 라틴 아메리카 조직을 주로 표적으로 삼고 있습니다. Python으로 제작된 BraZetsu는 기업 네트워크를 정찰하고 주요 비즈니스 및 금융 데이터를 탐색하여 초기 침투 브로커(IAB)가 더 높은 가격에 침해 접근 권한을 판매하도록 지원합니다.

웹 호스팅 소프트웨어 업체 Softaculous가 33시간 동안 BGP 하이재킹 공격을 당했으며, 공격자가 Hetzner의 IP 주소 블록을 불법으로 공시하여 트래픽을 탈취했다. 공격자는 Let's Encrypt에서 유효한 TLS 인증서를 획득하여 악성 패키지를 배포했고, 영향받은 서버는 약 72% 확률로 공격자의 서버로 라우팅되었다. Softaculous는 고객들에게 자격증명 재설정 및 서버 검사를 권고했다.

디지털 인증서에 대한 글로벌 수요 증가에 맞춰 하드웨어 생태계 이니셔티브인 Android Ready SE가 'Android Digital Credential Alliance'로 확장됩니다. 안드로이드 플랫폼은 하드웨어 기반 키스토어와 변조 방지 전용 실리콘인 Android Strongbox를 통해 엄격한 글로벌 보안 및 개인정보 보호 프레임워크 준수를 지원합니다. 또한 키 증명(Key Attestation)과 원격 키 프로비저닝(RKP)을 활용하여 자격 증명 데이터가 프로비저닝되기 전에 장치가 정품 안드로이드 소프트웨어 및 인증된 하드웨어에서 실행되고 있는지 원격으로 검증합니다.

지난해 기업 침입의 가장 흔한 방식은 ClickFix 기법으로, 마이크로소프트 팀이 관찰한 공격의 47%를 차지했으며 사용자를 속여 터미널 명령어를 실행하도록 유도한다. 비트디펜더의 분석에 따르면 심각도 높은 보안 사건의 84%는 이미 시스템에 있는 정상 관리 도구를 악용했으며, 새로운 악성코드 설치가 필요하지 않았다. 공격자들은 창의적인 기법보다 재사용 가능하고 확장 가능한 표준화된 절차를 선호하며, 베리존 보고서에 따르면 취약점 악용이 초기 접근 벡터의 31%로 증가했다.

Microsoft Exchange Server의 CVE-2026-62911 취약점에 대한 공개 PoC(개념 증명)가 GitHub에 공개되었다. 이 취약점은 NTLM 인증 릴레이 공격을 통해 인증 없이 원격 코드 실행(RCE)과 SYSTEM 권한 획득을 가능하게 한다. 공격자는 PetitPotam 같은 기법으로 Exchange 서버의 인증을 탈취한 후 MRSProxy 서비스로 릴레이하여 mailbox replication 기능에 접근하고, WCF 메서드를 악용해 웹셸을 배포하여 명령을 실행할 수 있다.

5명의 베네수엘라 국적자가 미국 법원에서 ATM 해킹 시도 혐의로 유죄를 인정했다. 이들은 2025년 12월 인디애나에서 캔자스주 와메고와 맨해튼의 ATM에 악성코드를 설치하려 시도했으나 실패했고 감시카메라에 포착되어 체포되었다. 유죄 인정자 중 루이스 알베르토 벨라스케스-아르티가스는 9개월 징역형을 받았으며, 나머지 4명은 선고를 기다리고 있다. FBI에 따르면 2020년 이후 1,900건 이상의 ATM 잭팟팅 사건이 발생했으며, 2025년만 해도 700건 이상으로 2,000만 달러 이상의 손실을 초래했다.

공격자들이 가짜 Cloudflare CAPTCHA 프롬프트를 이용해 피해자들을 속여 악성 PowerShell 명령을 실행하도록 유도하는 'TerminalFix' 캠페인이 발견되었다. 이 공격은 DLL 사이드로딩, PNG 이미지에 숨겨진 페이로드, 지속성 확보, Active Directory 정찰, 그리고 커스텀 역방향 터널 임플란트를 통해 조직 내 더 깊은 접근을 가능하게 한다. Microsoft Threat Intelligence는 감지 범위, IOC, 사냥 쿼리, 완화 및 대응 지침을 제공했다.

PolySwarm의 분석가들은 명령 서버로 반복적인 연결을 시도하지 않고 잠복하는 새로운 윈도우 백도어 'SLEEPWALKER'를 발견했습니다. 이 악성코드는 DLL 사이드로딩을 통해 정상적인 보안 관리 프로세스 뒤에 숨어 네트워크 인터페이스를 무차별 모드로 전환한 뒤 암호화된 특정 트리거 패킷이 도달할 때까지 대기합니다. 정기적인 아웃바운드 신호를 발생시키지 않는 수동적인 동작 방식 덕분에 네트워크 모니터링 도구의 탐지를 피할 수 있습니다.

의료 서비스 기업 Nutex Health가 최근 발생한 데이터 유출 사고로 환자, 직원, 의료 서비스 제공자, 비즈니스 및 금융 정보 등이 도난당했음을 확인했습니다. 이번 사고와 관련해 랜섬웨어 조직 'Gentlemen(일명 Storm-2697)'이 자신들의 소행이라 주장하며 탈취한 데이터를 다크웹 유출 사이트에 공개하겠다고 협박하고 있습니다. Nutex Health는 침해 범위와 영향을 계속 조사 중이며, 텍사스에서 집단 소송이 제기되었다고 미국 증권거래위원회(SEC)에 보고했습니다.

Anthropic는 정보 탈취 악성코드(infostealer)를 통해 Claude 계정이 탈취되는 사건을 경고했습니다. 공격자들은 비밀번호 추측이나 2FA 코드 탈취 대신 사용자의 컴퓨터에서 브라우저 세션을 도용하여 Claude 계정에 접근하고 사용량을 소비했습니다. Anthropic은 영향을 받은 사용자들을 로그아웃시키고 저장된 결제 수단을 제거했으며, 무단 접근으로 식별된 요금을 환불하고 있습니다.