TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

악성코드 키워드 뉴스

중요기업

BleepingComputer·2026. 09. 22.

새로운 Windows Defender 제로데이, Microsoft 안티바이러스 업데이트 차단

보안 연구자 Abdelhamid Naceri가 Windows Defender의 바이러스 정의(백신 데이터베이스) 업데이트를 완전히 차단하는 새로운 제로데이(패치가 없는 보안 취약점) 익스플로잇 'BigDiskBuster'를 공개했습니다. 이 도구가 백그라운드에서 실행되면 모든 지원되는 Windows 버전에서 Defender가 업데이트를 받지 못하게 됩니다. Naceri는 2025년 3월 Microsoft에서 부당 해고됐다고 주장하며 올해 4월부터 무려 10여 개의 제로데이 취약점을 연달아 공개하고 있으며, SYSTEM 권한을 탈취할 수 있는 'ShieldCrash' 등 일부는 아직 공식 패치가 없습니다. 기업 보안 담당자는 Defender 정의 업데이트가 정상적으로 이루어지고 있는지 즉시 확인하고, 비정상적인 백그라운드 프로세스를 점검해야 합니다.

#AI #EDR #PoC

중요기업

The Hacker News·2026. 09. 22.

악성 npm 패키지 indexed-btree, 제거 전 런타임 코드 안에 로더를 숨겼다

"indexed-btree"라는 악성 npm 패키지가 기존의 설치 스크립트 방식 대신 라이브러리 내부 실행 코드에 악성 코드를 숨기는 새로운 수법을 사용해 발견되었습니다. 이는 npm 버전 12에서 설치 시 자동 실행 스크립트를 제한한 보안 강화 조치에 공격자들이 빠르게 적응한 것으로, 수백만 건의 다운로드와 약 2억 3천만 원(109 ETH) 상당의 암호화폐 수익이 발생한 것으로 추정됩니다. 악성코드는 감염된 시스템 정보를 Slack과 텔레그램으로 전송하고, 블록체인을 통해 추가 공격 도구를 내려받는 방식으로 동작합니다. 연관 패키지 10개도 함께 발견되어 모두 삭제되었으며, 북한 연계로 알려진 PolinRider 캠페인도 PHP 패키지 저장소 Packagist에서 70만 다운로드 패키지를 침해한 것으로 확인되었습니다. 개발자들은 설치 시점 검사만으로는 이런 위협을 막을 수 없으므로 런타임(실행 중) 행동 분석까지 병행해야 합니다.

#GitHub #npm #계정 탈취

기업

Help Net Security·2026. 09. 22.

사기꾼들, 진짜 Google 로그인을 이용해 고가의 미검증 AI 구독 서비스 판매

사기꾼들이 단돈 249달러짜리 웹사이트 제작 툴킷을 이용해 연간 최대 2,000달러짜리 가짜 AI 구독 서비스를 판매하는 사기 네트워크가 발견됐습니다. 이 사이트들은 GPT-6 Astra, PixAI 등 실존하는 AI 서비스 이름을 도용하고, 진짜 Google 로그인 화면을 연결해 이용자들이 정식 서비스로 착각하게 만듭니다. Malwarebytes는 이런 방식으로 구축된 사이트 100개 이상을 확인했으며, 모두 동일한 개발자 정보와 파일 구조를 공유해 단일 운영자나 연계 집단의 소행으로 추정됩니다. Google 로그인이 성공했다고 해서 그 서비스가 신뢰할 수 있다는 뜻은 아니며, 실제로 구독 비용을 지불한 후 환불이나 분쟁 해결이 매우 어렵습니다. 사이트 URL이 원하는 제품의 공식 주소와 일치하는지 반드시 직접 확인하는 것이 중요합니다.

#AI #OAuth #결제

중요교육/연구

The Hacker News·2026. 09. 22.

SideCopy, 인도 학술 기관으로 표적 확대 — ReverseRAT 스피어피싱 캠페인 포착

파키스탄 연계 APT(지능형 지속 위협) 그룹 SideCopy가 기존의 인도 정부·국방 기관을 넘어 학술 기관까지 공격 대상을 확대했습니다. 악성 ZIP 파일이 첨부된 스피어피싱(특정 대상을 노린 정교한 사기 이메일) 이메일로 침투하며, 이메일을 열면 결국 ReverseRAT이라는 원격 제어 악성코드가 설치됩니다. 이 악성코드는 시스템 정보 수집, 비밀번호 탈취, 파일 업로드, 원격 명령 실행 등 다양한 스파이 기능을 갖추고 있습니다. 탐지를 피하기 위해 메모리 내에서만 작동하는 다단계 난독화 기법을 사용하며, 수집한 정보는 암호화된 채 외부 서버로 유출됩니다. 인도 내 연구기관 및 대학 보안 담당자는 mshta.exe 실행 이벤트와 출처 불명의 LNK 파일에 각별한 주의가 필요합니다.

#APT #DNS #Windows

중요기업

The Hacker News·2026. 09. 22.

Meta Muse의 숨겨진 설정 하나로 AI 어시스턴트를 백도어로 만들 수 있다

보안 연구자 Patrick Wardle이 Meta의 AI 에이전트 앱 'Muse'의 Mac 버전에서 심각한 보안 취약점을 발견했습니다. 공격자가 이미 피해자의 Mac에서 코드를 실행할 수 있는 상태라면, 앱의 숨겨진 설정 하나를 바꾸는 것만으로 사용자의 음성 입력(받아쓰기)을 가로채 Muse를 완전한 백도어로 만들 수 있습니다. Muse는 파일·이메일·캘린더·스마트홈 등 사용자가 허용한 모든 앱에 접근할 수 있기 때문에, 이 취약점이 악용되면 공격자는 해당 권한을 그대로 이용해 위치 추적, 블루투스 스캔, 스마트홈 명령 실행 등 광범위한 행동을 지시할 수 있습니다. 현재 패치가 없으므로 위험을 줄이려면 Meta가 수정하기 전까지 Muse 앱을 삭제하거나 종료하는 것이 권장됩니다.

#AI #AI 에이전트 #PoC

중요기업

The Hacker News·2026. 09. 22.

WordPress "Comment2Shell" 취약점, 익명 댓글 XSS로 관리자 세션 탈취해 서버 코드 실행 가능

WordPress의 핵심 기능인 댓글 처리 과정에서 새로운 취약점(CVE-2026-93485, "Comment2Shell")이 발견됐습니다. 로그인하지 않은 방문자도 악성 댓글 하나로 관리자의 브라우저에서 스크립트를 실행시킬 수 있으며, 관리자가 해당 페이지를 열기만 해도 서버 전체 제어권을 빼앗길 수 있습니다. 영향을 받는 버전은 WordPress 4.7부터 7.1까지로 매우 광범위하며, 댓글 승인 기능이 기본적으로 꺼져 있어 악성 댓글이 별도 검토 없이 바로 노출될 수 있습니다. WordPress는 9월 17일 버전 7.1.1 등 각 브랜치별 패치를 배포했으며, 즉시 업데이트할 것을 권고하고 있습니다. 같은 업데이트에서 관리자 링크 클릭만으로 서버 코드 실행이 가능한 두 번째 취약점 "Click2Shell"도 함께 수정됐습니다.

#CVSS #RCE #XSS

중요금융

전자신문 보안·2026. 09. 21.

[창간기획] '공격하는 AI vs 방어하는 AI' 금융권, 인공지능 대응 총력전

금융권에서 AI를 이용한 사이버 공격이 실제로 벌어지고 있습니다. 피싱 문자 대량 생성, 딥페이크 사칭, 문서 위·변조, 심지어 AI가 스스로 취약점을 찾고 공격코드를 만드는 자동화 해킹 도구('CyberStrike AI')까지 등장했습니다. 앤트로픽은 중국계 국가 배후 해킹조직이 AI 도구를 이용해 약 30개 금융기관 등 글로벌 조직을 공격했으며, 공격 과정의 80~90%를 AI가 수행했다고 밝혔습니다. 이에 맞서 국내 은행·보험·증권·카드·핀테크·가상자산 업권은 AI 기반 이상거래 탐지(FDS) 고도화, 행동 분석, 보험사기 예측 시스템 등 방어용 AI를 잇따라 도입하고 있습니다. 금융당국도 망분리 규제를 완화해 금융사가 고성능 AI를 보안 목적으로 활용할 수 있도록 길을 열고 있습니다.

#AI #AI 보안 #AI 에이전트

중요기업

The Hacker News·2026. 09. 22.

가짜 LastPass Authenticator 설치 파일, 마이크로소프트 서명 드라이버 악용해 백신·EDR 무력화

GitHub에 가짜 LastPass Authenticator 설치 파일이 올라와 있으며, 이를 내려받아 실행하면 마이크로소프트가 공식 서명한 커널 드라이버가 설치되면서 백신·EDR(엔드포인트 탐지·대응) 소프트웨어 145종을 강제 종료합니다. 보안 도구가 꺼진 상태에서 비밀번호 탈취 악성코드가 실행되어 크롬·엣지 등 20개 이상의 브라우저 저장 비밀번호, 암호화폐 지갑, Discord·Steam·Telegram 세션 등이 공격자 서버로 전송됩니다. 드라이버가 공식 서명을 받은 데다 파일명을 바꿔 VirusTotal 탐지를 0건으로 줄였고, 마이크로소프트의 취약 드라이버 차단 목록에도 등재되지 않아 현재까지 차단 수단이 없습니다. 감염된 PC는 부팅할 때마다 보안 도구를 다시 죽이고 재탈취를 반복하므로, 커널 수준 포렌식 분석 또는 OS 재설치가 필요합니다. LastPass 자체 시스템과 고객 볼트(저장소)는 피해를 입지 않았으나, 가짜 페이지가 최소 40개 브랜드를 사칭하고 있어 주의가 요구됩니다.

#EDR #GitHub #PoC

중요금융

The Hacker News·2026. 09. 22.

'전염성 인터뷰' 캠페인, 기기 3만 대 감염 및 암호화폐 1,071만 달러 탈취

북한 해킹 조직 'WaterPlum(워터플럼)'이 주도하는 '전염성 인터뷰(Contagious Interview)' 캠페인이 100개국 이상에서 기기 3만 대를 감염시키고, 암호화폐 지갑 7,000여 개에서 총 1,071만 달러(약 140억 원) 상당의 암호화폐를 탈취한 것으로 드러났습니다. 공격자들은 구직자에게 채용 담당자인 척 접근해 가짜 코딩 과제를 수행하게 한 뒤, BeaverTail·InvisibleFerret 등 악성코드를 심어 시스템을 장악했습니다. 피해는 암호화폐·블록체인·Web3 분야 개발자와 엔지니어에 집중되었으며, 감염 이후 기업 내부망 침투와 지식재산 절취로 이어질 수 있습니다. 최근에는 Discord를 통해 미국·유럽·중남미 일반인을 '대리 면접인'으로 모집하는 새로운 수법도 확인됐습니다. 일본·미국·호주·독일 사이버보안 당국이 공동으로 경고를 발령했습니다.

#AI #거래소 #데이터유출

중요기업

The Hacker News·2026. 09. 21.

⚡ 주간 요약: Cisco 0-Day, AI 에이전트 RCE, ClickFix 공격 급증, 브라우저 하이재킹

이번 주 가장 심각한 사안은 Cisco의 네트워크 접근 제어 솔루션 ISE(Identity Services Engine)에서 발견된 최고 심각도(CVSS 10.0) 인증 우회 취약점(CVE-2026-76460)으로, 이미 실제 공격에 악용되고 있어 즉각적인 패치가 필요합니다. Claude Code·GitHub Copilot 등 주요 AI 코딩 도구에서는 플러그인을 통해 클릭 한 번 없이 원격으로 악성 코드를 실행할 수 있는 제로클릭 RCE(원격 코드 실행) 취약점이 공개되어 개발 환경 전반에 경고가 내려졌습니다. 마케팅 플랫폼 Brevo는 공급망 공격을 받아 약 5.5시간 동안 10만 개 이상의 고객 웹사이트에 가짜 보안 확인 화면(ClickFix)을 통한 악성코드가 배포되었습니다. 브라질발 뱅킹 악성코드 KREMLIN은 Chrome과 Edge에 악성 브라우저 확장 프로그램을 설치해 금융 자격증명과 세션 토큰을 탈취하고 있습니다. CISA KEV(실제 악용 확인 목록)에 등재된 Cisco ISE 및 Google Pixel 취약점은 기업 보안 담당자가 최우선으로 패치해야 합니다.

#AI #AI 에이전트 #API 키

중요기업

The Hacker News·2026. 09. 21.

TASK#STOMP PowerShell 백도어, 업무 문서·Wi-Fi 비밀번호·클립보드 데이터 탈취

'TASK#STOMP'라는 이름의 새로운 악성 캠페인이 발견되었습니다. 이 공격은 PowerShell 백도어(해커가 몰래 심어두는 원격 제어 프로그램)를 사용해 감염된 컴퓨터에서 업무 문서, Wi-Fi 비밀번호, 클립보드 내용, 화면 캡처 등 민감한 정보를 자동으로 빼내갑니다. 공격자는 VBScript 파일을 통해 감염을 시작하며, 예약 작업(Task Scheduler)과 시작 프로그램 폴더를 이용해 재부팅 후에도 악성코드가 계속 실행되도록 설정합니다. 또한 파일 타임스탬프 조작, Windows 기본 도구만 활용하는 방식으로 보안 솔루션과 관리자의 눈을 피하려 했습니다. 두 개의 C2(명령·제어) 서버를 운영해 하나가 차단돼도 공격이 지속될 수 있어 즉각적인 대응이 필요합니다.

#EDR #Windows #데이터 탈취

중요기업

Help Net Security·2026. 09. 21.

북한의 채용 면접 사기는 양방향으로 작동한다

북한 국가지원 해킹 그룹 'Contagious Interview(일명 WaterPlum)'가 채용 면접을 가장해 Rust 개발자 및 소프트웨어 패키지 관리자를 표적으로 삼고 있습니다. 공격자들은 LinkedIn 등 SNS에서 그럴듯한 채용 담당자로 위장한 뒤 화상 면접 중 악성 코드 실행이나 악성 소프트웨어 설치를 유도합니다. 2025년 12월부터 2026년 7월 사이에 100개국 이상에서 3만 대 이상의 기기가 감염되었고, 암호화폐 지갑 7,000개 이상에서 자금과 자격증명이 탈취된 것으로 국제 당국이 확인했습니다. 이 공격은 개발자 개인뿐 아니라 기업의 채용 과정도 겨냥하며, 북한 IT 노동자들이 도용된 신원으로 원격 채용에 직접 지원하는 방식도 포함됩니다. 개발자는 출처 불명의 연락을 경계하고, 기업은 채용 절차 강화와 최소 권한 원칙 적용으로 대응해야 합니다.

#AI #EDR #MFA

이전8 / 23다음