TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

봇넷 키워드 뉴스

중요기업

The Hacker News·2026. 09. 15.

인간 공격자, Marimo RCE 악용으로 8초 만에 SSH 바스천 호스트 침투

보안 연구기업 Sysdig에 따르면, 숙련된 공격자가 Marimo 노트북의 심각한 원격 코드 실행 취약점(CVE-2026-39987, CVSS 9.3)을 악용해 단 8초 만에 AWS 자격증명을 훔치고 내부 SSH 서버에 침투한 사례가 확인됐습니다. 공격자는 AI 도구 없이 손수 작성한 Python 스크립트만으로 머신 수준의 속도를 달성했으며, AI 기반 공격 도구들이 걸리는 함정도 피해갔습니다. 또한 Redis 서버 3,562대가 인증 부재를 노린 암호화폐 채굴 악성코드에 감염된 캠페인과, Dahua IP 카메라 14,000대 이상을 무차별 대입 및 인증 우회(CVE-2021-33044, CVE-2021-33045)로 침해한 'Operation CameraSwarm'도 함께 공개됐습니다. Marimo를 사용 중이라면 즉시 패치를 적용해야 하며, Redis는 반드시 인증을 활성화하고 인터넷에 직접 노출되지 않도록 조치해야 합니다.

#AI #AI 에이전트 #AWS

중요의료

BleepingComputer·2026. 09. 10.

랜섬웨어 조직의 공격 주장 이후 Veradigm, 환자 데이터 침해 사실 공개

미국 의료 IT 기업 Veradigm이 서드파티 벤더의 자격증명(계정 정보) 유출로 인해 환자 개인정보가 도난당하는 침해 사고를 공개했습니다. 공격자는 탈취한 자격증명으로 Veradigm의 고객 서비스용 API에 접근해 환자의 이름, 주소, 사회보장번호(SSN) 등 민감 정보를 복사해 갔습니다. The Gentlemen이라는 랜섬웨어 조직이 이번 공격을 자신의 소행이라고 주장하며 350만 건의 환자 기록을 보유하고 있다고 협박하고 있습니다. 해당 조직은 2025년 중반에 등장한 이중 협박(데이터 탈취 + 암호화) 그룹으로, 현재까지 86개국 800개 이상의 피해 기관을 자신들의 유출 사이트에 올려놓고 있습니다. Veradigm은 현재 당국에 신고하고 조사를 진행 중이며, 피해 고객과 환자에게 개별 통보 및 신용 모니터링 서비스를 제공하고 있습니다.

#API 키 #EDR #Windows

중요공공

The Hacker News·2026. 09. 02.

GeoNetwork, 정부 지오포털 백엔드에 영향을 주는 비인증 RCE 체인 취약점 수정

오픈소스 지리공간 메타데이터 카탈로그인 GeoNetwork에서 두 개의 취약점(CVE-2026-63219, CVE-2026-58400)을 연결하면 로그인 없이도 서버를 원격으로 장악할 수 있는 RCE(원격 코드 실행) 공격이 가능한 것으로 밝혀졌습니다. 첫 번째 취약점은 인증 없이 악성 스타일시트 파일을 업로드할 수 있게 하고, 두 번째는 그 파일이 실행될 때 운영체제 명령까지 수행하도록 합니다. 인터넷에 노출된 취약 버전 GeoNetwork 121개 중 89%가 정부·군·국가기관과 관련된 것으로 확인되어 파급력이 큽니다. GeoNetwork 4.4.12 및 4.2.17 버전에서 수정되었으므로 해당 소프트웨어를 운영 중인 기관은 즉시 업그레이드하거나, 그 전까지 리버스 프록시에서 formatter 엔드포인트의 쓰기 요청을 차단해야 합니다.

#CVSS #RCE #SQL 인젝션

기업

BleepingComputer·2026. 09. 02.

미국, 프리랜서 8만 명에게 악성코드 유포한 러시아인 기소

미국 캘리포니아 연방 대배심이 러시아 국적자 세아르주딘 아크툴라예프(40세)를 악성코드 유포 혐의로 기소했습니다. 그는 2016년부터 2017년까지 프리랜서 고용 플랫폼을 악용해 가짜 계정 255개로 악성 매크로가 삽입된 Microsoft Excel 파일을 8만 명에게 발송했습니다. 이를 통해 피해자 PC에 TVRAT와 DarkVNC라는 원격 제어 악성코드(RAT, 감염된 컴퓨터를 인터넷을 통해 몰래 조종하는 프로그램)를 심어 개인정보와 전자상거래 로그인 정보를 탈취했습니다. 피해자의 절반이 미국 내에 있었으며, 피고인은 2025년 5월 키프로스에서 체포돼 미국으로 송환됐습니다. 미국 법무부는 같은 날 러시아 연계 Sality 봇넷 인프라 해체 작업도 병행 중임을 발표했습니다.

#가상화 #개인정보 #결제

중요기업

Help Net Security·2026. 09. 02.

국제 싱크홀 작전, 23년 역사의 Sality 봇넷 종식

23년간 운영된 Sality 봇넷(악성코드에 감염된 컴퓨터들로 구성된 네트워크)이 국제 법집행기관과 CrowdStrike, Shadowserver Foundation의 공동 작전으로 완전히 차단됐습니다. Sality는 2003년 처음 등장해 전 세계 1만 5,000대 이상의 기기를 감염시켰으며, 최근 8년간은 클립보드 가로채기 수법으로 암호화폐 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 주로 배포해 운영자가 최소 15만 달러를 가로챈 것으로 추정됩니다. 이번 작전은 봇넷의 P2P(컴퓨터끼리 직접 연결되는 분산형) 구조의 핵심인 '슈퍼 피어 목록'을 연구진이 장악해 정상 서버를 싱크홀(방어자가 통제하는 서버)로 교체하는 방식으로 진행됐습니다. 미국·불가리아·헝가리·루마니아 수사기관은 Sality의 악성코드 배포에 사용된 도메인도 압수했습니다. Shadowserver Foundation은 현재 감염 기기 소유자에게 피해 사실을 알리는 통보 작업을 진행 중입니다.

#DDoS #거래소 #결제

기업

BleepingComputer·2026. 09. 02.

Sality 봇넷 인프라, 글로벌 합동 작전으로 해체

국제 법 집행 기관과 민간 보안 기업들이 20년 넘게 활동해 온 Sality 봇넷(악성코드에 감염된 컴퓨터들이 서로 연결된 네트워크)의 인프라를 합동 작전으로 해체했습니다. 이번 작전에는 미국 법무부(DOJ), FBI, 유럽의 Europol·Eurojust, 불가리아·헝가리·루마니아 당국, 그리고 민간 보안기업 CrowdStrike가 참여했습니다. Sality는 최소 2003년부터 활동해 왔으며, 최근 8년간 주로 암호화폐 지갑 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 유포하는 데 사용됐습니다. CrowdStrike는 봇넷의 통신 핵심 노드를 싱크홀링(sinkholing, 악성 트래픽을 무력화하는 기술) 처리해 감염 기기를 고립시켰습니다. 이번 작전으로 Sality 봇넷은 운영자의 통제권을 완전히 잃었습니다.

#DDoS #봇넷 #악성코드

중요기업

The Hacker News·2026. 09. 02.

당국, Sality P2P 네트워크를 역이용해 신규 악성 페이로드 배포 차단

미국 법무부와 유럽 국가들, CrowdStrike 등 민간 기업이 협력해 2003년부터 활동해 온 악성코드 봇넷(악성 소프트웨어에 감염된 컴퓨터들의 집합) 'Sality'를 성공적으로 차단했습니다. Sality는 P2P(피어투피어) 방식으로 운영돼 기존 서버 차단 방식이 통하지 않던 악성코드로, 전 세계 1만 5,000대 이상의 컴퓨터를 감염시켜 암호화폐 탈취, 스팸 발송, DDoS(분산 서비스 거부) 공격 등에 악용됐습니다. 당국은 Sality의 P2P 네트워크 구조 자체를 역이용해 감염된 컴퓨터들이 공격자의 명령을 받지 못하도록 격리하는 방식으로 봇넷을 무력화했습니다. 현재 모든 감염 기기는 CrowdStrike가 운영하는 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버)로 연결되도록 설정됐습니다. 단, 이미 감염된 기기에 남아 있는 악성코드는 여전히 수동으로 제거해야 합니다.

#DDoS #OT #PLC

중요기업

The Hacker News·2026. 09. 01.

공격자들, 심각한 Langflow 및 Rails 취약점을 자격증명 탈취·C2 활동에 악용

보안 연구기업 VulnCheck가 AI 개발 플랫폼 Langflow와 웹 프레임워크 Ruby on Rails에서 발견된 심각한 취약점 두 가지가 실제 공격에 악용되고 있다고 밝혔습니다. 공격자들은 서버에서 AWS 접근 키, OpenAI API 키, 데이터베이스 비밀번호 같은 민감한 자격증명을 훔치고, 일부 시스템을 암호화폐 채굴 봇넷에 편입시키거나 원격 제어(C2) 도구를 심는 등 다양한 악성 활동을 벌이고 있습니다. 특히 Ruby on Rails의 CVE-2026-66066은 패치된 버전(8.1.3.1)에서도 RCE(원격에서 시스템을 마음대로 제어할 수 있는 공격) 수단이 완전히 차단되지 않는 것으로 확인되어 각별한 주의가 필요합니다. 현재 인터넷에 노출된 취약한 Ruby on Rails 인스턴스만 7,100개 이상이며, Langflow 관련 취약점을 통한 성공적인 공격 시도도 15,000건을 넘겼습니다. 해당 제품을 사용하는 조직은 즉시 패치 적용 및 자격증명 점검이 필요합니다.

#AI #API 키 #AWS

중요공공

The Hacker News·2026. 08. 31.

DoJ, 중국 해킹 주장 수정 — 미국 기관들은 '피해자'가 아닌 '표적'이었다

미국 법무부(DoJ)가 중국 연계 해킹 그룹 'QTFY'의 공격과 관련해 앞서 발표한 보도자료를 수정했습니다. NASA, 연방준비제도, 에너지부, 법무부 등 주요 기관이 "피해자"가 아니라 "표적"이었다고 표현을 바로잡은 것으로, 실제 침해 여부는 일부에 한정된다는 의미입니다. QTFY는 중국 국가안전부(MSS)의 지원을 받는 것으로 알려진 민간 회사 소속 해킹 그룹으로, 취약점 스캐너(QScan)와 트래픽 은닉 네트워크(QTRouter)를 활용해 2018년부터 미국 정부·병원·통신사·전력사·금융기관·방산업체를 공격해 왔습니다. FBI는 관련 도메인을 압수해 악성 인프라를 무력화했으며, 보안 연구기관 Lumen Black Lotus Labs는 이 그룹이 IoT 기기(사물인터넷 장치)를 대량으로 감염시켜 공격 출처를 숨기는 분산형 봇넷(악성 좀비 네트워크)을 산업적 규모로 운영 중임을 밝혔습니다.

#IoT #네트워크 장비 #병원

중요기업

The Hacker News·2026. 08. 28.

ThreatsDay: IoT 봇넷 29만 6천 대, 수처리 시스템 100여 개 표적, SharePoint RCE 체인 + 신규 위협 27건

이번 주에는 Microsoft SharePoint에서 인증 우회(CVE-2026-55040, CISA 실제 악용 확인 목록 등재)와 원격코드실행(CVE-2026-63520)을 결합한 공격 체인이 실제 허니팟에서 탐지되어 긴급 패치가 필요합니다. 이란 위협 행위자가 미국 수처리 시스템 100여 곳을 자동화된 방식으로 공격하고, 29만 6천 대 이상의 IoT 기기가 Dysphoria 봇넷에 감염된 사실도 확인됐습니다. 공격자들은 블록체인을 명령·제어(C2) 인프라로 활용하거나 AI(인공지능)를 봇넷 운영에 통합하는 등 수법이 고도화되고 있습니다. 동시에 정보 탈취 악성코드, RAT(원격접근 트로이목마), 피싱 프레임워크, 공급망 공격 등 광범위한 위협이 한 주 만에 쏟아졌습니다. 기업 보안 담당자는 SharePoint 패치를 최우선으로 적용하고, 인터넷에 직접 노출된 산업제어시스템과 AI 도구 관리 현황을 즉시 점검해야 합니다.

#AI #AI 에이전트 #AWS

이전2 / 2다음