발행 글 (6435)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

미국 사이버보안인프라보호국(CISA)은 줌라(Joomla) 확장 프로그램인 iCagenda와 Balbooa Forms에서 원격 코드 실행을 허용하는 취약점이 활발히 악용되고 있다고 경고했습니다. 이 취약점들은 임의 파일 업로드 기능을 통해 공격자가 웹 셸을 설치하고 서버를 완전히 장악할 수 있게 합니다. CISA는 해당 취약점들을 '알려진 악용 취약점(KEV)' 목록에 추가하고 연방 기관에 신속한 보안 업데이트 적용을 명령했으며, 일부는 패치가 발표되기 전부터 제로데이로 악용된 것으로 확인되었습니다.

미국 사이버보안 및 인프라 보안국(CISA)의 한 계약업체가 AWS GovCloud 키를 포함한 내부 자격 증명을 공개 GitHub 리포지토리에 약 6개월간 노출했습니다. CISA는 유출 사실을 인지한 후에도 시스템의 복잡성으로 인해 노출된 키를 무효화하는 데 48시간 이상이 소요되었다고 밝혔습니다. CISA는 이번 사건을 계기로 성숙한 키 관리 능력과 외부 보안 연구원들을 위한 명확한 사고 보고 채널의 중요성을 강조하며 개선을 약속했습니다.

SentinelLabs의 분석에 따르면 중국과 인도 연계 사이버 간첩 세력이 파키스탄 발루치스탄 주 경찰을 포함한 사법 기관 시스템을 침해한 것으로 나타났습니다. 중국 연계 세력은 PlugX, ShadowPad, Cobalt Strike 등을 활용해 민원 관리 시스템(CMS)에 악성 임플란트를 설치했으며, 인도 연계 세력(TAG-179)은 Remcos 악성코드를 활용했습니다. 이번 침해로 지문 생체 정보, 범죄 기록, 경찰 인사 데이터 등이 노출 위협에 처했으며, 두 국가의 공작은 각각 CPEC 관련 자국민 보호와 지정학적 정보 수집을 목적으로 분석됩니다.

이 기사는 '고스트엑소더스(GhostExodus)'로 알려진 전 블랙햇 해커 제시 맥그로(Jesse McGraw)의 이야기를 다룹니다. 그는 고등학교 시절 친구를 통해 해킹을 처음 접했으며, 기술의 규칙을 깰 수 있다는 것을 깨달았습니다. 맥그로는 어린 시절 겪은 사회적 고립감이 블랙햇 해커의 길로 들어서는 계기가 되었다고 설명하며, 결국 해킹 범죄로 유죄 판결을 받고 수감되었습니다.

독일의 대형 할인마트 체인 Lidl이 서비스 제공업체 해킹으로 인해 고객 개인정보가 유출되었다고 밝혔습니다. 이번 침해 사고는 독일, 벨기에, 네덜란드의 온라인 쇼핑몰 고객에게 영향을 미쳤으며, 이름, 전화번호, 이메일 주소, 생년월일 등의 데이터가 도난당했습니다. Lidl은 온라인 쇼핑몰 시스템 자체는 영향을 받지 않았고 비밀번호나 결제 정보는 안전하다고 강조하며, 피해 고객들에게 유출된 정보를 이용한 피싱 공격 가능성에 대해 경고했습니다.

바로니스 위협 연구소가 마이크로소프트 엔트라 ID 환경의 보안 훈련을 위한 'Breach at the Beach' 캡처 더 플래그(CTF)를 공개했습니다. 이 게임은 보안 전문가들이 실제 사례를 바탕으로 한 데이터 유출 시나리오를 직접 경험하며 위협 탐지 및 대응 능력을 향상시키도록 돕습니다. 특히 AI 에이전트와 같은 비인간 신원을 이용한 최신 공격 기법에 대한 실습 기회를 제공합니다.

클라우드플레어가 차세대 봇 관리 엔진 '프리커서(Precursor)'를 정식 출시했습니다. 이 엔진은 웹 브라우저 내에서 전체 사용자 세션을 지속적으로 모니터링하고 행동을 분석하여 정교한 봇을 탐지합니다. 정적인 CAPTCHA와 달리 실시간 상호작용을 분석하여 합법적인 사용자 경험을 방해하지 않으면서 탐지 정확도를 높이며, 개인정보 보호를 위해 키 입력 내용 대신 타이핑 리듬 같은 집계된 패턴을 기록합니다.

영국 국가범죄수사국(NCA)이 '러시아 컴스(Russian Coms)'라는 대규모 발신자 ID 스푸핑 플랫폼 운영에 연루된 5명을 기소했습니다. 이 플랫폼은 범죄자들이 은행이나 법 집행 기관 등을 사칭하여 180만 건 이상의 사기 전화를 거는 데 사용되었습니다. 2020년부터 운영된 이 서비스는 전 세계적으로 약 17만 명의 피해자에게 막대한 금전적 손실을 입혔으며, NCA의 수사 끝에 폐쇄되고 관련자들이 기소되었습니다.

고스트커밋(Ghostcommit)은 이미지 파일에 악성 지침을 숨겨 코드 리뷰에 사용되는 AI 어시스턴트를 속이는 새로운 공격 기법입니다. 공격자는 평범해 보이는 이미지 내부에 지침을 숨기고, AI 에이전트가 이를 읽고 실행하도록 유도하여 코드베이스의 민감한 정보를 탈취할 수 있습니다. 이 공격은 이미지 파일을 직접 검사하지 않는 인간 리뷰어를 우회하며, AI 모델 자체보다는 AI를 사용하는 개발 도구(하네스)의 취약점을 이용하는 것으로 나타났습니다.

새로운 OAuth 클라이언트 ID 스푸핑 기법이 클라우드 환경, 특히 마이크로소프트 Entra ID를 대상으로 사용되고 있습니다. 공격자들은 이 기법을 통해 로그인 로그에 탐지되지 않고 사용자 계정 정보를 열거하여 다중 인증(MFA) 등의 보안 조치가 없는 취약한 계정을 식별합니다. 프루프포인트(Proofpoint)는 이 공격이 수많은 마이크로소프트 Entra ID 테넌트의 수백만 사용자 계정을 대상으로 하는 대규모 캠페인에서 활용되고 있다고 경고했습니다.

사건 대응 회사 디지털민트(DigitalMint)의 전직 랜섬웨어 협상가 안젤로 마르티노가 70개월의 징역형을 선고받았습니다. 그는 고객의 협상 정보, 보험 한도 등 민감한 정보를 블랙캣(BlackCat) 랜섬웨어 그룹에 유출하여 더 많은 몸값을 요구하도록 도왔습니다. 마르티노와 공범들은 이 범죄를 통해 얻은 120만 달러 상당의 비트코인을 분배받았으며, 연방 수사관들은 그에게서 1000만 달러 이상의 암호화폐 및 자산을 압수했습니다.

미국 CISA가 실제 공격에 악용되는 것이 확인된 시스코 IOS의 교차 사이트 요청 위조(CSRF) 취약점(CVE-2008-4128)을 '알려진 악용 취약점(KEV)' 카탈로그에 추가했습니다. CISA는 연방 기관에 해당 취약점의 신속한 해결을 의무화했으며, 모든 조직에도 위험 기반의 취약점 관리를 통해 KEV 카탈로그에 등재된 취약점 해결을 우선시할 것을 권고했습니다.