보안 뉴스

러시아 해커, 사이프러스서 미국으로 인도…엑셀 악성코드로 수천 대 PC 감염 혐의

미국 법무부(DoJ)는 2016~2017년에 프리랜서 플랫폼 이용자 약 8만 명에게 악성 엑셀 파일을 보내 수천 대의 컴퓨터를 감염시킨 혐의로 러시아 국적자 악툴라예프(Aktulaev)를 기소했습니다. 그는 사이프러스에서 체포된 후 2026년 8월 미국으로 인도돼 샌프란시스코 연방법원에 출석했습니다. 공격에 사용된 악성코드는 TVRAT(원격 접속 트로이목마)와 DarkVNC(숨겨진 원격 제어 도구)로, 피해자 몰래 컴퓨터를 원격 제어하고 개인정보·계정 정보를 탈취하는 방식이었습니다. 마이크로소프트는 2022년부터 인터넷에서 받은 오피스 파일의 매크로를 기본 차단해 이 공격 방식을 봉쇄했지만, 프리랜서·구직 플랫폼을 미끼로 삼는 유사 수법은 북한 해커(Lazarus Group)와 러시아 연계 그룹(Sandworm) 등을 통해 현재도 계속되고 있습니다. 임직원이 프리랜서 플랫폼이나 구직 사이트에서 받은 파일을 열 때는 매크로 실행 요청에 각별히 주의해야 합니다.

#Windows #개인정보 #백도어

기업

미국, 프리랜서 8만 명에게 악성코드 유포한 러시아인 기소

미국 캘리포니아 연방 대배심이 러시아 국적자 세아르주딘 아크툴라예프(40세)를 악성코드 유포 혐의로 기소했습니다. 그는 2016년부터 2017년까지 프리랜서 고용 플랫폼을 악용해 가짜 계정 255개로 악성 매크로가 삽입된 Microsoft Excel 파일을 8만 명에게 발송했습니다. 이를 통해 피해자 PC에 TVRAT와 DarkVNC라는 원격 제어 악성코드(RAT, 감염된 컴퓨터를 인터넷을 통해 몰래 조종하는 프로그램)를 심어 개인정보와 전자상거래 로그인 정보를 탈취했습니다. 피해자의 절반이 미국 내에 있었으며, 피고인은 2025년 5월 키프로스에서 체포돼 미국으로 송환됐습니다. 미국 법무부는 같은 날 러시아 연계 Sality 봇넷 인프라 해체 작업도 병행 중임을 발표했습니다.

#가상화 #개인정보 #결제

Help Net Security·2026. 09. 02.

국제 싱크홀 작전, 23년 역사의 Sality 봇넷 종식

23년간 운영된 Sality 봇넷(악성코드에 감염된 컴퓨터들로 구성된 네트워크)이 국제 법집행기관과 CrowdStrike, Shadowserver Foundation의 공동 작전으로 완전히 차단됐습니다. Sality는 2003년 처음 등장해 전 세계 1만 5,000대 이상의 기기를 감염시켰으며, 최근 8년간은 클립보드 가로채기 수법으로 암호화폐 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 주로 배포해 운영자가 최소 15만 달러를 가로챈 것으로 추정됩니다. 이번 작전은 봇넷의 P2P(컴퓨터끼리 직접 연결되는 분산형) 구조의 핵심인 '슈퍼 피어 목록'을 연구진이 장악해 정상 서버를 싱크홀(방어자가 통제하는 서버)로 교체하는 방식으로 진행됐습니다. 미국·불가리아·헝가리·루마니아 수사기관은 Sality의 악성코드 배포에 사용된 도메인도 압수했습니다. Shadowserver Foundation은 현재 감염 기기 소유자에게 피해 사실을 알리는 통보 작업을 진행 중입니다.

#DDoS #거래소 #결제

기업

Sality 봇넷 인프라, 글로벌 합동 작전으로 해체

국제 법 집행 기관과 민간 보안 기업들이 20년 넘게 활동해 온 Sality 봇넷(악성코드에 감염된 컴퓨터들이 서로 연결된 네트워크)의 인프라를 합동 작전으로 해체했습니다. 이번 작전에는 미국 법무부(DOJ), FBI, 유럽의 Europol·Eurojust, 불가리아·헝가리·루마니아 당국, 그리고 민간 보안기업 CrowdStrike가 참여했습니다. Sality는 최소 2003년부터 활동해 왔으며, 최근 8년간 주로 암호화폐 지갑 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 유포하는 데 사용됐습니다. CrowdStrike는 봇넷의 통신 핵심 노드를 싱크홀링(sinkholing, 악성 트래픽을 무력화하는 기술) 처리해 감염 기기를 고립시켰습니다. 이번 작전으로 Sality 봇넷은 운영자의 통제권을 완전히 잃었습니다.

#DDoS #봇넷 #악성코드

공격자들, Switchvox 치명적 취약점 악용해 인증 없이 역방향 셸 배포

기업용 VoIP(인터넷 전화) 플랫폼인 Sangoma Switchvox에서 로그인 없이도 원격으로 시스템을 완전히 장악할 수 있는 치명적인 보안 취약점(CVE-2026-9586)이 발견됐고, 현재 실제 공격에 악용되고 있습니다. 공격자는 특별히 조작된 요청 한 번만으로 데이터베이스를 마음대로 조작하거나, 피해 서버에 '역방향 셸(reverse shell, 공격자가 원격으로 서버를 조종하는 통로)'을 심을 수 있습니다. 인터넷에 노출된 Switchvox 장비가 약 4,000대에 달하며, 이미 대규모 자동 공격 시도가 관측됐습니다. Sangoma는 2026년 7월 14일에 Switchvox 8.4.0.2 버전으로 패치를 배포했으므로, 해당 제품을 사용하는 기업은 즉시 업데이트해야 합니다.

#AI #CVSS #RCE

당국, Sality P2P 네트워크를 역이용해 신규 악성 페이로드 배포 차단

미국 법무부와 유럽 국가들, CrowdStrike 등 민간 기업이 협력해 2003년부터 활동해 온 악성코드 봇넷(악성 소프트웨어에 감염된 컴퓨터들의 집합) 'Sality'를 성공적으로 차단했습니다. Sality는 P2P(피어투피어) 방식으로 운영돼 기존 서버 차단 방식이 통하지 않던 악성코드로, 전 세계 1만 5,000대 이상의 컴퓨터를 감염시켜 암호화폐 탈취, 스팸 발송, DDoS(분산 서비스 거부) 공격 등에 악용됐습니다. 당국은 Sality의 P2P 네트워크 구조 자체를 역이용해 감염된 컴퓨터들이 공격자의 명령을 받지 못하도록 격리하는 방식으로 봇넷을 무력화했습니다. 현재 모든 감염 기기는 CrowdStrike가 운영하는 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버)로 연결되도록 설정됐습니다. 단, 이미 감염된 기기에 남아 있는 악성코드는 여전히 수동으로 제거해야 합니다.

#DDoS #OT #PLC

SonicWall, 실제 악용 중인 SMA1000 제로데이 취약점 경고

SonicWall의 원격 접속 장비인 SMA1000에서 두 개의 제로데이(아직 패치가 없는 상태에서 발견된) 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되었으며, 공격자들이 이를 묶어서 원격 코드 실행(RCE, 피해 장비를 외부에서 마음대로 조종할 수 있는 공격)에 악용하고 있습니다. 이 장비는 대기업·정부·핵심 인프라 기관에서 원격 근무용 VPN으로 널리 쓰이고 있어 피해 파급력이 큽니다. 현재 인터넷에 노출된 SMA1000 장비가 400대 이상으로 파악되며, SonicWall은 즉시 최신 핫픽스 버전으로 업그레이드할 것을 강력히 권고했습니다. 올해 7월에도 같은 장비의 다른 취약점(CVE-2026-15409, CVE-2026-15410)이 제로데이 공격과 랜섬웨어에 악용된 전례가 있어 신속한 대응이 필요합니다.

#RCE #SSL #국가 배후

해커들, Faronics Deploy 관리 도구를 악용해 ScreenConnect 설치

공격자들이 정상적인 IT 관리 도구인 Faronics Deploy를 악용해 피해자 컴퓨터를 몰래 장악하는 피싱 캠페인이 확인되었습니다. 공격자는 청구서나 세금 문서로 위장한 이메일을 보내 피해자가 'Adobe.exe'라는 이름의 Faronics 설치 파일을 실행하도록 유도합니다. 피해자가 파일을 실행하면 컴퓨터가 공격자가 통제하는 Faronics 배포 환경에 등록되고, 이후 PowerShell 스크립트를 통해 추가 원격 접속 도구인 ConnectWise ScreenConnect까지 자동 설치됩니다. 2025년 7월 21일부터 8월 20일 사이에 457개 이상의 엔드포인트(단말 기기)가 피해를 입었으며, Faronics 측의 조치 이후 공격이 크게 줄었습니다. 관리자는 Faronics 로그 파일과 비정상적인 ScreenConnect 설치 여부를 즉시 점검해야 합니다.

#GitHub #백업 #보안 솔루션

Langflow 치명적 취약점 악용으로 OpenAI·AWS 키 탈취

AI 애플리케이션 개발 오픈소스 플랫폼인 Langflow에서 인증 없이 루트 권한으로 임의 코드를 실행할 수 있는 심각한 취약점(CVE-2026-0768)이 실제 공격에 악용되고 있습니다. 공격자들은 이 취약점을 이용해 AWS 접근 키, OpenAI API 키, 관리자 인증 정보 등 민감한 자격증명을 환경변수에서 직접 탈취하고 있으며, 주로 러시아발 공격 시도가 360건 이상 관측되었습니다. 올해 들어 Langflow에서는 이 취약점 외에도 다수의 치명적 취약점이 연이어 실제 공격에 악용되었고, 이 중 3건(CVE-2026-55255·CVE-2026-9198·CVE-2026-0770)은 CISA의 실제 악용 확인 목록(KEV)에 등재되어 있습니다. Langflow를 운영 중인 조직은 즉시 최신 버전인 1.11.6으로 업그레이드해야 합니다.

#AI #API 키 #AWS

공개 수일 만에 공격자들이 JFrog Artifactory 심각 취약점 악용해 관리자 토큰 발급

JFrog Artifactory(소프트웨어 개발팀이 빌드 결과물을 저장·배포하는 데 널리 쓰이는 플랫폼)에서 인증을 완전히 우회해 관리자 권한을 탈취할 수 있는 심각한 취약점(CVE-2026-82329)이 공개됐습니다. CVSS 점수 9.8로 최고 수준의 위험도를 기록하며, 공개된 지 불과 며칠 만에 실제 공격자들이 악용을 시작한 것이 확인됐습니다. 공격자가 관리자 권한을 얻으면 빌드 파이프라인을 조작하거나 악성 코드를 배포물에 심어 다운스트림 고객까지 피해를 줄 수 있어 공급망 공격으로 이어질 수 있습니다. JFrog은 2026년 8월 28일 Artifactory 7.161.20 버전으로 패치를 배포했으므로, 자체 운영 중인 인스턴스는 즉시 업데이트해야 합니다. 감사 로그 점검, 자격증명 교체, 연결된 시스템의 악성 변경 여부 확인도 함께 권고됩니다.

#CVSS #RCE #공급망

The Hacker News·2026. 09. 01.

패치되지 않은 아이폰을 노린 악성 Packagist 패키지 13개, 암호화폐 지갑 시드 탈취

보안 연구팀이 PHP 패키지 저장소인 Packagist에서 악성 테마 패키지 13개를 발견했습니다. 이 패키지들은 주로 베트남의 영화·만화 스트리밍 사이트에 설치되며, 사이트 방문자의 기기에 악성 자바스크립트를 몰래 심습니다. iOS 18.6 이하 버전의 아이폰(iPhone XS~iPhone 16)을 사용하는 방문자는 취약점(WebKit 및 커널 결함)을 통해 스파이웨어가 자동 설치되고, 키체인 비밀번호·Wi-Fi 암호·문자(SMS)·사진·위치 기록은 물론 Bitget·Trust Wallet·OKX 등 암호화폐 지갑의 시드(복구 문구)까지 탈취당할 수 있습니다. 모바일 방문자 전원은 도박 사이트로 강제 리디렉션되거나 광고 사기에도 노출됩니다. OphimCMS 또는 KKPhim 기반 사이트 운영자는 해당 패키지 설치 여부를 즉시 점검하고 제거해야 하며, iOS 사용자는 iOS 26.1 이상 또는 18.7.3 이상으로 업데이트해야 합니다.

#공급망 #공급망 공격 #브라우저