eSentire의 위협 대응팀이 2026년 7월 말에 관찰한 악성코드 유통 캠페인은 ClickFix 소셜 엔지니어링, ErrTraffic 배포 서비스, Cruciferra 로더를 결합하여 엔드포인트 보안 프로세스를 비활성화하면서 악성코드를 배포했다. 손상된 WordPress 사이트에 주입된 ErrTraffic JavaScript는 블록체인 기반 인프라를 사용하여 C2 주소를 해석하고 가짜 Google reCAPTCHA, Cloudflare Turnstile 또는 BSOD 루어를 통해 피해자의 클립보드에 악성 PowerShell 명령을 복사하도록 유도했다. Cruciferra 로더는 월 1,200달러에 판매되며 DCRCVDrv.sys 드라이버를 악용하여 Windows 커널에서 보안 관련 프로세스를 종료하도록 설계되었으며, 기본적으로 145개의 프로세스명이 종료 대상으로 구성되어 있다.
해커들이 AI 생성 음성 통화와 가짜 뱅킹 페이지를 결합하여 다중 인증(MFA)이 활성화된 상태에서도 고객 계정을 탈취하고 있다. Balonx Sistema로 추적되는 이 캠프인은 피해자의 피싱 세션을 실시간으로 모니터링하며, 20개 이상의 멕시코 금융기관을 대상으로 2025년 10월 이후 1,100명 이상으로부터 자격증명과 금융 데이터를 수집했다. 이 공격은 구독 서비스 형태로 운영되며 실시간 WebSocket 연결을 통해 피싱 페이지와 범죄자의 제어판을 연동하여, 피해자가 입력한 은행 자격증명을 실제 은행 사이트에 전달하고 MFA 프롬프트를 트리거한 후 일치하는 가짜 인증 화면을 표시한다.
클라우드 제공자들은 가상 머신에서 실행되는 코드가 머신별 데이터를 검색할 수 있도록 169.254.169.254에서 REST API를 노출한다. 이 서비스는 머신이 실행 중인 지역, MAC 주소, IP 주소 같은 비교적 무해한 데이터를 제공하는 한편, IAM 역할 자격증명과 서비스 계정 토큰을 검색하는 데도 사용될 수 있다.
Stripe 결제 플랫폼의 수백 개 판매자 API 키가 유출되어 659개 판매자 계정과 약 688,000명의 고객 정보가 노출되었다. 8월 18일 데이터 거래 포럼에 약 35GB의 고객 및 결제 정보가 무료로 공개되었으며, 유출된 비밀 키를 통해 공격자가 결제 수락, 환불 발행, 송금 목적지 변경 등의 작업을 수행할 수 있다. Stripe 시스템 자체는 침해되지 않았으며, 키는 정보 탈취 로그, 공개 코드 저장소, 노출된 환경 파일 등에서 유출된 것으로 보인다.
Huntress가 2026년 상반기에 비밀번호 스프레이 공격이 155배 증가했음을 관찰했다. 주요 원인은 Microsoft Azure CLI를 대상으로 한 캠프인으로, LSHIY LLC가 제어하는 IPv6 범위에서 발생했으며, 6월 중순 2주 동안만 8,100만 건 이상의 로그인 시도와 78건의 계정 침해가 발생했다. 공격자들은 이전 침해에서 재사용된 유효한 사용자명-비밀번호 쌍을 결합하고, MFA를 우회하는 레거시 OAuth 그랜트인 ROPC를 악용했으며, 많은 피해 기업들이 조건부 액세스 정책을 통해 MFA를 구현했지만 이 특정 흐름을 보호하도록 구성하지 않았다.
브라질에서 유래한 뱅킹 트로이목마 Grandoreiro가 정상 소프트웨어를 악용한 DLL 사이드로딩 방식으로 라틴 아메리카 사용자를 노리며 다시 등장했습니다. Acronis 위협 연구 부서(TRU)에 따르면 탐지된 샘플 중 멕시코가 40%로 가장 큰 비중을 차지했으며 스페인, 페루, 아르헨티나 등에서도 활동이 확인되었습니다. 악성코드는 가상화 및 샌드박스 탐지 등 광범위한 분석 방해 기능을 탑재하고 정상 환경 확인 후에만 C2 인프라에 연결을 시도하는 것으로 분석되었습니다.
Intezer가 별도의 SOAR 시스템 없이도 플랫폼 내에서 대응 워크플로우를 생성 및 맞춤화할 수 있는 자체 자동화 및 대응 빌더인 'Workflows'를 발표했습니다. 이 기능을 통해 보안팀은 경보 분류와 조사가 이루어지는 동일한 환경에서 호스트 격리, 티켓 업데이트, 경보 종료 등의 조치 작업을 즉시 자동화할 수 있습니다. Intezer는 포렌식 수준의 심층 조사와 맞춤형 자동 대응을 결합하여 전체 SOC 수명 주기 전반에 걸쳐 AI 기반 보안 운영을 지원한다고 밝혔습니다.
랜섬웨어 피해 기업들을 대상으로 데이터 복구 업체를 사칭해 파일 복구와 유출 데이터 삭제를 빌미로 2만~6만 달러를 요구하는 'Ransom Busters' 캠페인이 발견되었습니다. GuidePoint Security는 이들이 DragonForce, Settra, Anubis 관련 침해 사고 대응 과정에서 관찰되었으며 랜섬웨어 계열 조직이 사회공학 기법을 활용해 2차 갈취를 시도하는 것으로 분석했습니다. 공격자들은 범죄자 서버에 침투해 데이터를 확보했다고 주장하지만 실제로는 탈취한 데이터에 직접 접근하며 피해자들을 속이고 있습니다.
개발자와 사이버보안 전문가를 위한 가상 이벤트인 CodeSecCon이 개최되어 1,500명 이상의 등록자가 참여합니다. 이번 행사는 안전한 코딩 및 애플리케이션 설계, 소프트웨어 취약점 감소, DevSecOps 협업 강화, 애플리케이션 내 안전한 AI 통합 등을 다룹니다. 주요 세션에서는 클라우드 보안, WordPress 보안 강화, AI 에이전트 런타임 보안 및 탈옥 방지 등 다양한 보안 주제가 발표됩니다.
macOS 사용자를 노리는 'MacSync Stealer' 악성코드가 가짜 인증 및 지원 프롬프트를 악용한 ClickFix 사회공학적 기법으로 터미널 명령어 실행을 유도해 유포되고 있습니다. 마이크로소프트의 분석에 따르면 해당 악성코드는 30개 이상의 도메인을 빠르게 순환하며 브라우저 데이터, 키체인, 클라우드 및 SSH 자격 증명, 암호화폐 지갑, Apple Notes 등 민감한 정보를 탈취합니다. 또한 zsh 세션, curl, AppleScript 등 macOS 기본 도구를 활용해 정상 시스템 활동으로 위장하며 탐지를 회피합니다.
컴캐스트(Comcast)가 자사의 Wi-Fi 기반 침입자 감지 기능인 'WiFi Motion'을 물리 및 사이버 보안 번들 서비스인 'Xfinity Shield'에 통합했습니다. 이 기술은 Xfinity Gateway 라우터와 고정된 연결 기기 간의 무선 주파수 신호 변화를 활용해 비디오 녹화나 개인 식별 없이 움직임을 감지하고 사용자에게 알림을 전송합니다. 사용자는 앱을 통해 감도 조절 및 소형 반려동물 무시 설정을 할 수 있으나, 약관상 마케팅 홍보 내용만큼 완벽하게 사생활이 보호되지 않을 수 있다는 지적도 있습니다.
중앙아시아 정부 기관을 겨냥한 미보고 사이버 스파이 활동 'SilkParasite'가 발견되었습니다. 이 공격 그룹은 이전에 문서화되지 않은 5종(DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT, NodeEdgeRAT)을 포함해 총 7종의 원격 접근 트로이목마(RAT) 제품군을 사용하며, 중국 연계 위협 클러스터로 추정됩니다. Bitdefender Labs는 이들이 AI 생성 악성코드가 아닌 개발 효율화를 위해 AI 지원 개발 방식을 활용한 정교한 스파이 도구를 보유하고 있으며, BLOODALCHEMY 및 업데이트된 SpiceRAT 등을 사용하는 등 중국 위협 행위자와의 연관성이 관찰되었다고 밝혔습니다.