발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

팔로알토네트웍스가 프런티어 AI 시대의 취약점 대응을 위해 신규 협력 프로그램인 '프런티어 AI 크리티컬 디펜스 프로그램'을 발표했습니다. 이 프로그램은 '프런티어 가상 패칭'과 탐지 엔진 '볼티드 프로텍션'을 활용해 소프트웨어나 기기 수정 없이 네트워크 단계에서 공격을 차단하도록 지원합니다. 오픈AI, 앤트로픽, 헬스아이색 등 다양한 기업 및 기관이 참여하며, 유닛42가 개발한 연구 도구 '노바'를 통해 3,915개 오픈소스 프로젝트에서 취약점 1만 4,090건을 확인했습니다.

격리된 환경에서 자바스크립트를 실행하는 라이브러리인 'isolated-vm'에서 호스트 제어권을 탈취해 원격 코드 실행을 가능하게 하는 심각한 샌드박스 탈출 취약점이 발견되어 패치되었습니다. 이 취약점은 V8 격리 메커니즘 자체가 아닌 데이터를 V8로 전달하는 C++ 글루 코드의 타입 혼동 문제로 확인되었습니다. 주당 100만 회 이상 다운로드되며 n8n, Sim.ai 등 AI 에이전트 자동화 프레임워크에서도 사용되는 이 라이브러리의 취약점은 버전 7.0.1 및 6.2.0에서 수정되었습니다.

기업 사이버보안 전문가 Jake Williams가 Dark Reading News Desk에 출연했습니다. 그는 Hugging Face에 대한 OpenAI 공격 이후 자신의 새로운 에이전틱 AI 프레임워크를 공개하기로 결정한 이유를 설명했습니다.

세 개의 사이버 첩보 위협 집단(UNC6293, UNC7005, UNC5976)이 정당한 인증 흐름을 악용하여 유럽과 미국의 학계, 항공우주·국방, 정부, 싱크탱크 종사자들을 대상으로 정교한 사회공학 기법을 이용한 지속적인 피싱 캠페인을 벌이고 있다. UNC6293은 Ice Relic의 하위 집단으로 애플리케이션별 비밀번호 기능을 악용해왔으며, UNC5976은 파일 공유 관련 도메인을 구매하여 가짜 로그인 팝업을 표시하고 OAuth 피싱을 자동화하는 방식으로 토큰을 수집하고 있다.

다크 리딩(Dark Reading) 편집진은 영상을 통해 그동안 다루지 못했던 주요 뉴스를 전했습니다. 이번 영상에서는 항공기 보안 위협 사례와 미국 정부의 새로운 '해킹백(hack back)' 전략 등이 논의되었습니다.

미국 백악관은 '초국가적 사이버 범죄 대응 역량 확대'라는 제목의 대통령 각서를 발표했습니다. 이 각서는 법무부(DOJ)와 국토안보부(DHS)에 미국 정부의 지휘 및 위임 권한 하에 민간 기업이 미국 외부에 있는 초국가적 범죄 조직을 상대로 사이버 감시 및 사이버 효과 작전을 수행할 수 있는 프로그램을 수립하도록 지시했습니다. 이는 단순한 정보 제공이나 수사 지원을 넘어 민간 기업을 활용해 사이버 작전을 직접 수행하도록 하는 방안을 담고 있습니다.

MSP와 중소기업에서 널리 사용되는 'Passportal' 비밀번호 관리자는 클라우드 기반 설계로 인해 패치 후에도 위험한 상태로 남아있다.

법 집행 기관의 훈련이 사이버범죄의 증가 속도와 빠른 진화에 따라가지 못하고 있으며, 경찰관들이 기본만 학습하면 되지만 예산 부족과 집중력 부족이 진전을 방해하고 있다.

US Bank는 랜섬웨어 조직 LockBit이 금융기관을 침해하고 데이터를 탈취했다는 주장을 조사 중이며, LockBit은 9월 3일까지 몸값을 지불하지 않으면 탈취 데이터를 공개하겠다고 위협하고 있다. US Bank는 내부 시스템이 영향을 받지 않았으며 네트워크에 대한 무단 접근 증거가 없다고 밝혔으나, 구체적인 협상 여부나 요구 금액에 대해서는 답변을 거부했다. LockBit은 2024년 경찰의 서버 적발 당시에도 피해자들이 몸값을 지불한 후에도 탈취 데이터를 삭제하지 않은 것으로 드러났으며, 2025년 9월에 LockBit 5.0 변종으로 재출현했다.

Check Point가 마이크로소프트 Defender의 서명된 부팅 시간 제거 드라이버(BTR.sys)를 역공학하여 엔드포인트 보안을 우회할 수 있음을 입증했다. 미국 법무부는 2013년 이후 144개 미국 대학, 178개 해외 대학, 42개 이상의 미국 민간 기업 등을 대상으로 조직적인 사이버 침입을 수행한 이란 기반 Mabna Institute의 17명을 기소했으며, 31TB 이상의 학술 데이터를 탈취하고 약 8,000개의 교수 계정을 손상시킨 것으로 알려졌다.

CRLF 인젝션 취약점을 통해 HTTP 요청 불일치(desync) 공격이 가능하며, 이를 이용해 CDN 캐시를 중독시키고 정상 사용자에게 XSS 페이로드를 전달할 수 있다. 공격은 인코딩된 캐리지 리턴과 라인피드 문자(%0d%0a)를 잘못 처리하는 애플리케이션에서 시작되며, 특히 Nginx의 proxy_pass 지시문에서 변수를 사용할 때 위험하다. CDN 인프라 계층에서 응답 큐 중독이 발생하면 서로 다른 사이트의 요청과 응답이 섞여 세션 쿠키, 인증 토큰 등 민감한 데이터가 노출될 수 있으며, 캐시된 페이지를 XSS 전달 메커니즘으로 변환하여 실제 사용자의 브라우저에서 공격자 제어 JavaScript를 실행시킬 수 있다.

Check Point Research에 따르면 마이크로소프트 디펜더의 정상 드라이버인 BTR.sys가 관리자 권한을 가진 공격자에 의해 커널 수준의 파일 및 레지스트리 조작 도구로 악용될 수 있는 것으로 나타났습니다. 이 드라이버는 재부팅 후 파일 삭제 등 디펜더의 정상 치료 작업에 사용되지만, 독점 트랜잭션 형식을 재현하면 서명된 드라이버를 통해 Ring 0에서 임의의 파일 및 레지스트리를 수정 또는 삭제할 수 있습니다. 연구진은 사용자 모드 보안 구성 요소가 초기화되기 전 단계에서 이 드라이버를 실행해 백신이나 EDR 보호 스택이 시작되기 전에 보안 바이너리를 제거하거나 레지스트리를 변조할 수 있다고 지적했습니다.