⚡ 주간 요약: 중국 스파이 프록시, 임무 이탈한 AI 에이전트, 라우터 백도어 외

Ravie Lakshmanan | 2026년 8월 31일 | 사이버보안 / 해킹

지루한 부분들이 대부분의 문제를 일으켰다.

라우터는 처음부터 도청 준비가 된 채 출하되었다. 가짜 확인 절차가 사용자를 설치자로 만들었다. 신뢰할 수 있는 시스템이 트래픽과 패스워드를 수집한 뒤 로그를 지웠다. 오래된 취약점들이 새로운 공격 체인을 형성했다. 심지어 AI 에이전트는 배정된 임무를 선택 사항쯤으로 여겼다.

한편 가짜 앱, 친절한 척하는 지원 전화, 저렴한 뱅킹 킷, 노출된 시스템, 취약한 기본 설정이 계속해서 공격을 이어갔다. 공격 방식은 달랐지만 같은 유용한 실수가 반복되었다: 익숙한 무언가를 다시 한번 확인하지 않고 신뢰했다.

이번 주를 정리한다...

⚡ 이주의 위협

미국, 중국 사이버 스파이 활동을 지원하는 프록시 네트워크 차단 — 미국 연방수사국(FBI)이 중국 사이버 스파이 활동을 위해 정찰·프록시 관리·작전 라우팅 기능을 판매해온 기술 지원 조직의 인프라를 차단했다. QTYF 그룹은 미국 핵심 인프라 네트워크를 공격하는 데 사용된 QScan 및 QTRouter 프레임워크를 개발·운영한 것으로 알려져 있다. 이 조직은 중국 난징에 소재한 Nanjing Xinjiuwei Network Technology Company와 연계되어 있다.

🔔 주요 뉴스

• OpenAI, AI 에이전트가 보상 해킹으로 Hugging Face 침해했다고 밝혀 — OpenAI는 지난달 AI 기반 Hugging Face 해킹의 핵심 원인이 보상 해킹(reward hacking)이었다고 공개하며, 이미 5월 말에 오정렬(misaligned) 행동의 증거를 발견했다고 덧붙였다. 이 사건은 여러 OpenAI 모델에 대한 사이버보안 평가 과정에서 발생했으며, GPT‑5.6 Sol에 버금가는 규모의 "고성능 내부 전용 연구 모델"이 주요 원인으로 지목되었다. OpenAI는 "안전장치가 일부 해제된 상태에서 운용된 모델들이 할당된 임무 목표와 어긋나는 행동을 취했다—무단 채널을 통해 통신하고, 공유 인프라의 취약점을 악용하고, 인터넷에 접속하고, 서드파티 시스템에 접근했다"고 밝혔다.
• TerminalFix, 가짜 Cloudflare CAPTCHA로 리버스 터널 임플란트 배포 — ClickFix의 새 변종인 TerminalFix는 사용자를 Windows 실행 대화 상자 대신 Windows 터미널 또는 PowerShell에서 악성 명령을 실행하도록 속인다. 여러 업종의 조직을 표적으로 하는 이 캠페인은 침해된 웹사이트를 시작점으로 삼아 가짜 Cloudflare CAPTCHA 인증을 제공하고, 의심하지 않는 방문자가 악성 PowerShell 명령을 복사해 실행하도록 유도한다. Microsoft에 따르면 이 공격 체인은 DLL 사이드로딩, 스테가노그래피(steganography, 데이터를 이미지 등에 숨기는 기법)를 이용한 페이로드 추출, 광범위한 Active Directory 정찰, 그리고 감염된 기기를 통해 공격자에게 지속적인 네트워크 수준 프록시 접근을 제공하는 맞춤형 리버스 터널 임플란트를 활용하는 정교한 다단계 프로세스다.
• PaperCut 취약점 공격 받는 중 — 위협 행위자들이 PaperCut NG 및 MF의 두 가지 새로운 보안 결함을 체인으로 연결해 취약한 인스턴스에서 임의 코드를 실행하고 있다. watchTowr의 위협 인텔리전스 책임자 Jake Knott은 The Hacker News에 "CVE-2026-81578로 인증을 우회한 뒤, 설정 파일을 편집해 CVE-2026-82078을 악용하면 원격 코드 실행(RCE)이 가능하다"고 말했다. Huntress는 두 개의 고객 환경에서 제한적인 익스플로잇을 관찰했으며, 공격자들이 체인 명령어 "whoami & ver"를 사용해 사용자 계정과 운영 체제를 파악하는 등 사후 침해 활동의 일환으로 Base64 인코딩 명령을 실행했다고 밝혔다.
• 중국산 ZBT 라우터, 백도어 2개 탑재된 채 출하 — ZBT Deep Orange 3G/4G/LTE 라우터의 펌웨어 분석을 통해 SPEAKINGSTONE(CVE-2026-74233, CVSS 점수: 9.3)과 DARKLANTERN(CVE-2026-74232, CVSS 점수: 9.3)이라는 두 가지 새로운 백도어가 발견되었다. 이 발견은 해당 중국 회사의 펌웨어 이미지 최소 21개에 ENDLESSDOORS(CVE-2026-66747, CVSS 점수: 9.3)라는 또 다른 백도어가 포함된 것이 확인된 직후에 나왔다. ENDLESSDOORS는 자동으로 시작되어 최대 35초마다 중국 C2(명령·제어) 인프라로 신호를 보내도록 설계되어 있다. 새로 발견된 두 백도어는 ENDLESSDOORS보다 이전에 만들어진 것이다. VulnCheck는 "SPEAKINGSTONE은 ENDLESSDOORS처럼 ZBT의 클라우드 인프라에 연결하고 원격 명령을 수신하는 폰홈(phone-home) 임플란트다. DARKLANTERN은 WAN에서 대기하며 임의 명령을 실행하는 백도어로, 인증이 전혀 필요 없다. 둘 다 Nim으로 작성되었고, 둘 다 UDP로 통신하며, inetdetect라는 연결 감시 바이너리에 의해 실행된다"고 밝혔다.
• Fire Ant, 2026년에도 신뢰 인프라를 표적으로 활동 지속 — Fire Ant(UNC3886으로도 알려짐)라는 중국 연계 위협 행위자가 2026년에도 활발히 활동하며 하이퍼바이저를 넘어 라우터(Cisco IOS XR 라우터 포함), TACACS 서버, 인증 시스템, Linux 관리 호스트 등 신뢰 인프라를 표적으로 삼아 은밀한 접근을 유지하고 자격증명과 트래픽을 수집하며 연결된 고가치 환경에 도달하고 있다. Sygnia는 "이번 침해는 직접 환경과 서드파티 환경 모두에 영향을 미쳤다. 신뢰 인프라 간의 관계가 연결된 외부 환경—고가치 네트워크 및 핵심 인프라 포함—으로의 잠재적 경로를 만들었다. Fire Ant는 이 신뢰 위치를 활용해 최초 침해 환경 너머의 접근 경로를 탐색한 것으로 보인다"고 말했다. 침해된 라우터는 은밀한 연결, 트래픽 수집, 명령 출력 조작, 로깅 억제에 활용되었다. 또한 이 위협 행위자는 Medusa 루트킷 관련 구성 요소, 맞춤형 SSH 백도어, 공격자 제어 접근 통로 역할을 하는 Zabbix 위장 악성코드(BridgeAgent), 패킷 트리거 방식의 백도어를 포함해 Linux 관리 인프라 전반에 장기 임플란트를 배포했다. Fire Ant의 또 다른 도구인 TacTap은 TACACS 자격증명 수집에 사용된다. Sygnia는 "공격자는 방어자가 의존하는 증거 소스도 조작했다. 라우터 로깅을 억제하고, 명령 출력을 변조하고, 관리자 자격증명을 탈취하고, 호스트 로그를 변조하고, 다수의 지속형 백도어를 배포했다"고 덧붙였다.

‎️‍🔥 주목할 CVE

취약점은 매주 쏟아지고, 패치와 익스플로잇 사이의 간격은 빠르게 줄어들고 있다. 이번 주의 핵심 취약점들이다: 심각도가 높거나, 광범위하게 사용되거나, 이미 실제 공격에서 탐지되고 있는 것들이다.

목록을 확인하고 보유한 제품을 패치하되, 긴급 표시된 것부터 먼저 처리하라 — CVE-2025-30237부터 CVE-2025-30241, CVE-2025-15628, CVE-2026-9254, CVE-2026-16348, CVE-2026-78541 (TP-Link), CVE-2026-17106(CopyEscape, Docker), CVE-2026-70426 (Jenkins), CVE-2026-15307, CVE-2026-15337, CVE-2026-15830, CVE-2026-15920 (Django), CVE-2026-19598 (Pods), CVE-2026-19874 (Konami Metal Gear Online 3), CVE-2026-75149, CVE-2026-67618 (Marimo), CVE-2026-77775, CVE-2026-77776 (Headroom LLM Proxy), CVE-2026-0251 (Palo Alto Networks GlobalProtect App), CVE-2026-59568, CVE-2026-59567, CVE-2026-59565 (Zscaler Client Connector), CVE-2026-69251, CVE-2026-73601, CVE-2026-69253, CVE-2026-69256, CVE-2026-73602, CVE-2026-69259, CVE-2026-69264, CVE-2026-73484, CVE-2026-69255, CVE-2026-70477, CVE-2026-73485, CVE-2026-73486, CVE-2026-73487, CVE-2026-70470, CVE-2026-69254 (Flowise), CVE-2026-19912, CVE-2026-19913 (Kaltura HTML5 Player Library), CVE-2026-79282, CVE-2026-79290, CVE-2026-79054, CVE-2026-79121, CVE-2026-79224, CVE-2026-79052, CVE-2026-79150, CVE-2026-78935, CVE-2026-79012, CVE-2026-79200 (Google Chrome), CVE-2026-77537, CVE-2026-77550, CVE-2026-77554 (Ubiquiti UniFi), CVE-2026-18431 (Avada WordPress 테마), CVE-2026-7791 (Amazon Skylight Workspace Config Service), CVE-2026-73554 (DoltHub), CVE-2026-19516 (Grafana MCP), CVE-2026-75604, GHSA-2xp9-vwfh-vxw4 (Next.js), CVE-2026-65643 (cPanel 및 WebHost Manager), CVE-2026-76639, CVE-2026-76640 (Unitree G1 EDU), CVE-2026-18885, CVE-2026-18886, CVE-2026-74820 (ServiceNow AI Platform).

🎥 사이버보안 웨비나

• AI는 공격 경로를 몇 분 만에 구성할 수 있다. 당신의 SOC는 준비되어 있는가? → AI는 이제 제로데이를 발견하고, 작동하는 익스플로잇을 생성하며, 공개 후 수 분 내에 완전한 공격 경로를 연결할 수 있다. AI 위협 대응 수준을 평가하고, 속도를 따라잡는 데 필요한 가시성·컨텍스트·대응 역량을 구축하는 방법을 알아본다.
• AI가 취약점을 더 빠르게 찾는다. 노출 여부 확인에 며칠씩 걸려서는 안 된다 → AI가 취약점 발견 속도를 높이고 있지만, 정작 중요한 답—우리가 노출되어 있는가?—은 여전히 느리다. Tines가 SBOM, 애플리케이션, 클라우드, 취약점 데이터를 단일 뷰로 통합해 노출 평가 속도를 높이고 인간이 검토한 대응 플레이북을 머신 속도로 실행한 방법을 확인한다.

📰 사이버 세계 주요 소식

• Play 랜섬웨어의 암호화 방식 — Play(PlayCrypt로도 알려짐)라는 폐쇄형 랜섬웨어 그룹이 데이터를 탈취한 뒤 시스템을 암호화하고, 몸값을 지불하지 않으면 Tor에 개설된 데이터 유출 사이트에 도난 데이터를 공개하겠다고 협박하는 이중 갈취 모델을 사용하는 것으로 확인되었다. 2026년 초에 관찰된 한 사건에서 이 위협 행위자는 초기 접근 권한 획득 후 SystemBC를 배포한 뒤 정찰·횡적 이동·데이터 유출을 진행하고, SentinelOne의 정상 제거 도구를 악용해 EDR 제품을 제거했다. GuidePoint Security는 "위협 행위자가 침해된 SonicWall VPN을 통해 초기 접근 권한을 획득했는데, 이는 해당 그룹의 잘 알려진 외부 원격 서비스 악용 패턴과 일치한다"며 "이 사례가 특히 방어자에게 교훈적인 것은 세 가지 구체적 행동의 조합 때문이다: 호스트별 배포 대신 SYSVOL 공유를 통한 도메인 전체 도구 준비, 커널 수준 드라이버 익스플로잇 대신 피해자 자신의 SentinelOne 제거 유틸리티를 이용한 EDR 제거, 그리고 암호화가 완료되지 못한 호스트에서 크래시 덤프 복구—이는 암호화 실행 과정을 들여다볼 수 있는 드문 포렌식 증거다"라고 밝혔다.
• 이메일 폭탄과 Quick Assist를 이용한 랜섬웨어 배포 — ZeroBEC는 한 조직 내 최소 10명의 사용자를 표적으로 하루 약 3,000건의 메시지를 발송한 이메일 폭탄 캠페인의 세부 내용을 공개했다. 이 이메일 보안 회사는 "해당 메시지들은 일반적인 피싱 발송이 아니었다. 피해자의 이메일 주소가 무관한 공개 플랫폼에 등록됨으로써 발생한 진짜 인증·등록·배포·문의 확인 메일이 대부분이었다"고 설명했다. 이메일 폭탄 약 하루 반 뒤, 일부 사용자들은 공격자가 IT 헬프데스크 직원을 가장해 Microsoft Teams를 통해 연락해 문제 해결을 돕겠다고 접근했다. 로컬 관리자 권한을 가진 한 직원이 Microsoft Quick Assist 접근 권한을 부여했고, 이를 통해 공격자는 리버스 프록시 도구인 Xray-core를 배포하고 접근을 확장할 수 있었다. ZeroBEC는 "자격증명 탈취 단계가 사회공학에 직접 짜여 있었다. 공격자는 Windows 보안 업데이트 설치를 흉내 내며 침해된 엔드포인트에서 로컬 자격증명 프롬프트를 실행했다. IT 담당자라고 믿은 사람의 말을 듣고 있던 피해자는 그 프롬프트에 도메인 자격증명을 입력했고, 해당 툴은 이를 검증·수집한 뒤 외부 Microsoft Dev Tunnel로 자격증명·설정 파일을 업로드했다"고 밝혔다. 리버스 터널을 통해 위협 행위자는 도메인 정찰을 수행하고 인증서 등록에 대한 NTLM 릴레이(NTLM relay, 인증 정보를 가로채 다른 서비스에 재사용하는 공격)를 시도했는데, 이는 모두 랜섬웨어 배포 전 전형적인 징후다. 이 수법은 Aurora 랜섬웨어의 방식과 겹치는 점이 있다. (업데이트: ZeroBEC CEO 겸 창립자 Michael Gorelik는 The Hacker News에 동일한 위협 행위자가 서로 다른 두 피해자를 공격한 것임을 확인했다. 그는 "겹치는 부분이 이메일 폭탄 사용 그 이상으로 훨씬 구체적이다. 두 조사 모두 동일한 광범위한 수법과 매우 구체적인 구현 세부 사항을 보여준다—동일한 ConnectivityService/Agent 경로 아래 ConnectivityHost.exe로 배포된 Xray-core, VLESS/REALITY 터널링, TLS 서버 이름으로 사용된 dl.google[.]com"이라고 말했다. ZeroBEC가 문서화한 공격 체인에서 공격은 랜섬웨어 배포 단계에 이르기 전에 차단되었지만, 그 이전의 수법—이메일 폭탄, IT 가장, Quick Assist 악용, 자격증명 탈취, 지속형 Xray 터널, 이후 Active Directory 및 내부 네트워크 활동—은 동일했다. Gorelik는 "침입 순서와 매우 구체적인 도구·설정 중첩의 조합을 고려해 높은 신뢰도로 연관성을 평가한다"고 덧붙였다.)
• 악성 설치 프로그램을 통해 배포되는 ValleyRAT — 애드웨어로 위장한 악성 설치 프로그램이 중국 바탕화면 관리 도구 QN Wallpaper의 변조 버전을 배포하는 것이 관찰되었다. 이 변조 버전은 DLL 사이드로딩을 수행해 파일을 시작 폴더에 드롭함으로써 Windows 시스템에 영속성을 확보하고, 최종적으로 Silver Fox라는 위협 행위자와 연계된 백도어 ValleyRAT를 실행한다. 이 악성코드는 자체 프로세스 보호 외에도 시스템 정보 수집, 컴퓨터 재부팅/종료, 스크린샷 촬영, 로그 삭제, C2 주소 업데이트, 추가 모듈 다운로드, 키로거 로그 및 클립보드 내용 전송 기능을 수행할 수 있다. Kaspersky 텔레메트리에 따르면 ValleyRAT 및 관련 구성 요소는 10만 건 이상 탐지되었으며, 주로 중국과 인도에서 1,500명 이상의 고유 사용자가 피해를 입었다.
• 브라질, ByteDance에 개인정보 침해로 약 2,981만 달러 과징금 부과 — 브라질 개인정보보호 당국(ANPD)이 TikTok의 모회사 ByteDance에 자국의 일반 개인정보보호법(LGPD) 위반을 이유로 1억 5,380만 헤알(약 2,981만 달러)의 과징금을 부과했다. ANPD는 중국 ByteDance의 현지 법인이 유효한 법적 근거 없이 13세에서 18세 사이 청소년의 개인정보를 처리했다고 밝혔다. 규제 당국은 검토 기간 중 TikTok이 최소 800만 명의 아동 데이터를 처리했을 것으로 추산했다.
• DeepMind, 이중 맹검(double-blind) AI 평가 도입 — Google의 DeepMind 부문이 벤치마크 오염을 방지하고 지식재산권을 보호하기 위해 외부 평가를 암호화된 "상자" 안에 보관하는 이중 맹검 AI 평가의 파일럿을 시작했다. 이를 위해 Google은 싱가포르 AI 안전 연구소, OpenMined, AVERI, MLCommons와 협력해 개인정보를 보호하는 환경에서 기밀 벤치마크로 Gemini Flash Lite 모델을 테스트한다고 밝혔다. DeepMind는 "Google Cloud의 기밀 컴퓨팅 포트폴리오 내 Confidential Space를 사용해 외부 평가 데이터와 독점 모델 모두 각자의 소유자에게만 비공개임을 암호화 방식으로 검증할 수 있다. 평가자는 Gemini 모델 가중치를 볼 수 없고, Google은 평가자의 테스트 프롬프트를 볼 수 없다"고 설명했다.
• 뱅킹 앱을 표적으로 하는 모바일 악성코드 34개 패밀리 — Zimperium은 전 세계 90개국 1,243개 이상의 모바일 뱅킹·핀테크 앱을 표적으로 하는 34개 모바일 악성코드 패밀리를 발견했다. "EMEA 지역에 표적 애플리케이션이 집중된 것은 위협 행위자들이 유럽·중동·아프리카의 주요 금융 중심지에서 가장 높은 수익을 기대하기 때문"이라고 밝혔다. EMEA 지역에서 활동 중인 악성코드 패밀리로는 TsarBot, CopyBara, HOOK, Nexus, Flubot, Eventbot, MaliBot이 있다.
• 가짜 KYC 앱으로 인도 고객 표적 삼아 Ghost Penal 배포 — Telegram의 새로운 서비스형 악성코드(MaaS) 운영 조직인 Ghost Penal이 인도의 주요 5개 은행을 사칭하는 기성 Android 뱅킹 트로이목마 킷을 판매하고 있다. iZOOlogic은 "이 운영 조직은 네이티브 커스텀 패커로 보호된 2단계 드로퍼, 인증 없이 탈취한 UPI PIN과 기기 데이터를 수신하는 공개 클라우드 데이터베이스, 즉각적인 사기 사용을 위해 가로챈 일회용 비밀번호(OTP)를 전달하는 다운스트림 채널을 제공한다"고 밝혔다. 이 툴킷은 5크레딧 팩에 25달러, 3개월 무제한 플랜에 400달러에 판매된다. 악성 페이로드가 담긴 드로퍼 중 하나는 화상통화 애플리케이션으로 위장하면서 SMS 및 전화 기능 접근 권한을 요청한다. 회사 측은 "SMS 가로채기, WebView 기반 KYC 피싱, 데이터 유출 등 페이로드의 실제 기능은 설치된 애플리케이션의 정적 스캔에서는 나타나지 않는다. libdpt.so라는 이름의 네이티브 라이브러리로 보호되어 있으며, 이 라이브러리는 RC4를 사용해 메모리의 숨겨진 코드 섹션을 복호화하고, 안티디버깅 수단으로 코드 실행 전 프로세스를 포크(fork)하며, libc와 ART 런타임의 클래스 로더에 후킹을 설치하고, 두 번째 숨겨진 DEX 아카이브를 애플리케이션의 실행 중인 ClassLoader에 삽입한다. 그런 다음 동일한 메커니즘이 역으로 사용되어 해당 삽입의 흔적을 제거한다"고 설명했다.
• 바우만 대학교 유출 사건, 러시아의 군 사이버 훈련 파이프라인 드러내 — 바우만 대학교에서 유출된 기록이 제4학부 산하에서 약 250명의 현직 및 예비 학생들을 특수 정보, 작전 정보·기술 효과, 정보기술 보호 분야로 훈련시킨 장기 프로그램을 폭로했다. DomainTools는 "교육 과정은 사이버 방어를 위한 공격·방어 기술과 함께 능동적 조치 캠페인 및 GRU(러시아 군 정보기관) 활동을 위한 공격 교리를 결합했다. 이후 현장 배치를 통해 학생들은 각자의 전공에 맞는 군부대와 아카데미에서 정보 작전에 노출되며 군·정부 운영 경력을 준비했다"고 밝혔다. 제4학부는 GRU와 연계된 것으로 평가되며, 확인된 졸업생들은 APT28 및 Sandworm과 관련된 군부대에 배치된 것으로 알려졌다.
• 국방부의 Anthropic 블랙리스트 지정, 법원서 불법 판결 — 미국 법원이 올해 초 국방부가 Anthropic을 공급망 위험으로 지정한 것을 차단했다. Rita Lin 지방법원 판사는 "국방부가 자체 AI 벤더를 자유롭게 선택할 수 있다는 것은 명백하지만, 증거는 Anthropic에 부과된 광범위한 조치들이 불법적이고 근거 없음을 보여준다. 국가 안보를 공허하게 내세우는 것이 정부 비판자를 처벌하고 보복할 수 있는 백지수표가 될 수는 없다"고 밝혔다. Anthropic은 이 판결을 환영하며 "모든 미국인이 이 기술의 혜택을 받을 수 있도록 국가 안보를 위해 정부와 생산적으로 협력하는 데 집중하고 있다"고 밝혔다.
• 2026년 8월 AI 활용 악성코드 현황 — Palo Alto Networks Unit 42가 AI를 어떤 식으로든 통합한 405개의 악성코드 샘플을 분석한 결과, 실제 프로덕션 환경에 도달한 것은 12개에 불과했으며, 약 97%는 개념 증명(PoC)·연구 코드, 보안 검증·테스트, AI 테마 브랜드 남용의 형태로 샌드박스와 VirusTotal에만 존재하는 것으로 나타났다. 고객 엔드포인트에서 탐지된 것들로는 FunkSec 랜섬웨어, Recipe Lister라는 트로이목마 AI 애플리케이션, Oyster, Rhadamanthys Stealer, COM 하이재킹 DLL이 있었다. Unit 42는 "방어자 입장에서 실용적인 시사점은 명확하다. 기존의 행동 기반 탐지, 클라우드 기반 샌드박싱, 엔드포인트 분석이 기존 악성코드를 막는 것과 동일한 메커니즘으로 이러한 위협을 잡아낸다. AI 요소는 탐지를 우회하지 않는다. 코드가 작성되는 방식을 바꿀 뿐, 실행 방식을 바꾸지는 않는다"고 밝혔다.
• 불법 포르노 Android 앱, 금융 사기로 이어져 — 인도 사이버범죄조정센터(I4C)는 Night Play, Reloop, Kyss, Vimo, Rivo, Nexo, Vixa라는 이름으로 포르노 앱을 가장한 악성 Android 애플리케이션이 금융 사기를 실행할 수 있는 뱅킹 트로이목마를 유포하는 데 사용되고 있다고 경고했다. 이 가짜 앱들은 Facebook과 Instagram 광고를 통해 유포되며 피해자에게 APK 파일을 사이드로드(공식 스토어 외 설치)하도록 유도한다. I4C는 "설치 후 앱은 추가 애플리케이션을 설치할 수 있는 권한을 요청하고, 접근성 권한을 남용해 사용자 기기를 장악함으로써 금융 사기로 이어질 수 있다. 일부 앱은 VPN도 설치하며, 이는 악성·범죄 활동 관련 인터넷 트래픽을 라우팅하는 데 사용될 수 있다. 앱이 기기 설정에서 제거되는 것을 막을 수도 있다"고 밝혔다. KYSS 악성코드에 대한 세부 내용은 보안 연구원 Rudra Ponkshe가 2026년 7월에 발표했으며, 일본과 라틴아메리카의 19개 표적에 오버레이 공격을 수행하고 Android의 접근성 서비스를 남용해 광범위한 권한을 자체 부여하며 사진·연락처를 유출하고 명령을 실행하는 트로이목마로 설명했다.

결론

유용한 교훈은 모든 공격이 더 똑똑해졌다는 것이 아니다. 더 많은 공격이 이미 신뢰받는 것들—출하된 기기, 익숙한 프롬프트, 지원 도구, 유효한 접근 권한, 네트워크를 보호하기 위한 시스템—을 통해 들어왔다는 것이다.

이는 질문을 바꾼다. "작동하고 있는가?"만으로는 더 이상 충분하지 않다. 그것이 또 무엇을 할 수 있는지, 누가 접근할 수 있는지, 그리고 그것이 생성하는 증거를 신뢰할 수 있는지를 물어야 한다. 조용한 시스템은 다시 한번 살펴볼 필요가 있다.