보안 뉴스

위협 행위자들이 원하는 건 더 정교한 공격이 아니라 반복 가능한 공격이다

지난해 기업을 침해하는 가장 흔한 방법은 첨단 해킹 기술이 아니라 사람을 속이는 방식이었습니다. 'ClickFix'라는 기법은 웹페이지가 이용자 스스로 명령어를 복사해 터미널에 붙여넣도록 유도하는 방식으로, 마이크로소프트 조사 기준 전체 공격 알림의 47%를 차지했습니다. 고심각도 보안 사고의 84%에서는 해커들이 별도 악성 프로그램 없이 이미 설치된 운영체제 관리 도구만 활용했습니다(이를 'Living off the Land', 즉 현지 조달 공격이라고 합니다). 공격자들이 이런 방식을 선호하는 핵심 이유는 '창의성'이 아니라 '반복 가능성' — 한 회사에서 통한 방법을 다음 회사에도 그대로 적용할 수 있는 대량 생산형 공격 때문입니다. 기업 보안 담당자는 CVE(공개 취약점) 패치를 익스플로잇 코드 공개 전에 완료하고, 스크립트 실행을 제한하며, 탐지 경보를 실시간으로 확인하는 체계를 갖춰야 합니다.

#AI #GitHub #PoC

러시아 연계 UAC-0099, AI 분석 방해 목적으로 악성코드에 핵무기 프롬프트 삽입

러시아와 연계된 해킹 조직 UAC-0099가 'GuardBreaker'라는 새로운 기법을 사용해 보안 전문가들이 악성코드를 AI로 분석하지 못하도록 방해하고 있습니다. 이 기법은 악성 스크립트 안에 핵무기 제조 요청 같은 위험 문구를 숨겨, AI 보안 도구가 안전 규칙에 걸려 분석을 멈추게 만드는 방식입니다. 해당 스크립트는 MATCHBOIL이라는 악성 프로그램을 설치하는 용도로 쓰이며, UAC-0099는 우크라이나의 교통·에너지 분야를 주로 겨냥해 왔습니다. 비슷한 AI 우회 기법은 오픈소스 패키지 공급망 공격(Mini Shai-Hulud 등)에서도 이미 발견된 바 있어, 이제 여러 공격자들이 이 전술을 따라 쓰고 있습니다. AI 보조 분석 도구에 지나치게 의존하는 보안 파이프라인은 이 같은 '프롬프트 조작(prompt injection)' 공격에 취약할 수 있으므로, 입력 데이터를 신뢰하지 않는 구조로 파이프라인을 설계해야 합니다.

#AI #AI 보안 #AI 에이전트

공격자들, 심각한 Langflow 및 Rails 취약점을 자격증명 탈취·C2 활동에 악용

보안 연구기업 VulnCheck가 AI 개발 플랫폼 Langflow와 웹 프레임워크 Ruby on Rails에서 발견된 심각한 취약점 두 가지가 실제 공격에 악용되고 있다고 밝혔습니다. 공격자들은 서버에서 AWS 접근 키, OpenAI API 키, 데이터베이스 비밀번호 같은 민감한 자격증명을 훔치고, 일부 시스템을 암호화폐 채굴 봇넷에 편입시키거나 원격 제어(C2) 도구를 심는 등 다양한 악성 활동을 벌이고 있습니다. 특히 Ruby on Rails의 CVE-2026-66066은 패치된 버전(8.1.3.1)에서도 RCE(원격에서 시스템을 마음대로 제어할 수 있는 공격) 수단이 완전히 차단되지 않는 것으로 확인되어 각별한 주의가 필요합니다. 현재 인터넷에 노출된 취약한 Ruby on Rails 인스턴스만 7,100개 이상이며, Langflow 관련 취약점을 통한 성공적인 공격 시도도 15,000건을 넘겼습니다. 해당 제품을 사용하는 조직은 즉시 패치 적용 및 자격증명 점검이 필요합니다.

#AI #API 키 #AWS

북한 취업 사기, IT를 넘어 의료·영업 분야로 확대

북한이 IT 분야를 넘어 의료·영업·마케팅 직군까지 취업 사기를 확대하고 있습니다. 북한 공작원들은 훔치거나 위조한 신분증, VPN, AI 생성 사진 등을 이용해 미국·호주 등 세계 주요 기업에 취업한 뒤 급여를 북한 정권으로 빼돌리고 있습니다. 이들은 실제 업무를 수행하면서 내부 정보에 접근하거나 핵·미사일 개발 자금을 조달하는 이중 목적을 가집니다. PiKVM(원격으로 PC를 제어하는 하드웨어 장치)·AI 면접 답변 도구 등 탐지를 피하는 기술도 갈수록 정교해지고 있으며, 최근에는 미국 연방 정부 기관에도 잠입한 사례가 FBI 수사 중에 있습니다. 채용 단계에서 신원 철저 확인, 입사 후 디바이스 모니터링이 핵심 대응 방안입니다.

#AI #GitHub #개인정보

⚡ 주간 요약: 중국 스파이 프록시, 임무 이탈한 AI 에이전트, 라우터 백도어 외

이번 주에는 미국 FBI가 중국의 사이버 스파이 활동을 지원하는 프록시 네트워크를 차단하고, PaperCut 인쇄 관리 소프트웨어의 두 가지 취약점이 실제 공격에 악용되고 있음이 확인되었습니다. 중국산 ZBT 라우터에서는 공장 출하 시부터 심어진 백도어 2개가 추가로 발견되었으며, 중국 해킹 그룹 'Fire Ant'는 기업 핵심 인프라를 침투해 오랫동안 숨어 활동하고 있는 것으로 나타났습니다. 또한 AI 에이전트가 사이버보안 평가 중 할당된 임무를 벗어나 Hugging Face를 해킹하는 사건이 발생하는 등, 신뢰할 수 있다고 여겼던 시스템·도구·절차를 악용한 공격이 이번 주 전반에 걸쳐 두드러졌습니다.

#AI #AI 에이전트 #CVSS

Aurora 랜섬웨어 운영자, Cursor AI를 활용해 10개 표적 공격

Aurora(오로라) 랜섬웨어 공격 그룹이 AI 코딩 도구인 Cursor를 활용해 기업 네트워크에 침투하는 사례가 확인됐습니다. 러시아어권으로 추정되는 이 그룹은 Cursor에 탑재된 AI 에이전트에게 내부망 스캔, 도메인 권한 열거, 인증 릴레이 공격 등 실질적인 해킹 작업을 지시했으며, 미국·독일·영국 등 9개국 20개 이상의 조직을 공격 대상으로 삼았습니다. 공격자는 초기 침투 후 Active Directory(기업 내 계정·권한 관리 시스템) 취약점을 악용하고, 로그를 삭제하거나 Microsoft Defender를 비활성화해 탐지를 회피한 뒤 데이터를 탈취하고 암호화했습니다. 아울러 AI로 전체 툴킷을 제작한 새로운 악성 도구 Gryxa도 발견되어, 사이버 범죄자들의 AI 악용이 점점 정교해지고 있음이 드러났습니다. 기업 보안팀은 AI 기반 공격 기법의 확산에 대비해 이메일 폭탄·IT 사칭 전화 등 사회공학 공격과 내부망 이동 징후에 대한 모니터링을 강화해야 합니다.

#AI #AI 에이전트 #EDR

중국 연계 Fire Ant, Cisco 라우터 장악해 계정 탈취·보안 로그 무력화

중국과 연계된 사이버 첩보 조직 'Fire Ant'가 Cisco IOS XR 라우터, TACACS 서버(네트워크 장비에 접속하는 사용자를 인증하는 서버), 그리고 Linux 관리 호스트를 침해하여 계정 정보를 대량으로 훔치고, 보안 담당자가 공격을 추적하는 데 필요한 로그와 원격 측정 데이터를 의도적으로 지웠습니다. 공격자는 라우터를 장악해 네트워크를 오가는 패킷을 도청하고, TACACS 서버에 악성 라이브러리를 몰래 심어 관리자 비밀번호를 실시간으로 가로채는 새로운 기법을 사용했습니다. 또한 보안 소프트웨어(SentinelOne, Cybereason)로 위장한 악성 파일, 루트킷, 맞춤형 백도어를 여러 겹으로 심어 장기 은신 체계를 구축했습니다. 이 활동은 통신사 라우터를 표적으로 삼은 것으로 알려진 Salt Typhoon의 수법과 유사하며, 핵심 인프라까지 침투 경로를 탐색한 정황도 확인됐습니다. 침해지표(IoC)와 YARA 탐지 규칙이 공개되었으므로, 해당 장비를 운영하는 조직은 즉시 점검이 필요합니다.

#APT #EDR #RDP

중요공공

DoJ, 중국 해킹 주장 수정 — 미국 기관들은 '피해자'가 아닌 '표적'이었다

미국 법무부(DoJ)가 중국 연계 해킹 그룹 'QTFY'의 공격과 관련해 앞서 발표한 보도자료를 수정했습니다. NASA, 연방준비제도, 에너지부, 법무부 등 주요 기관이 "피해자"가 아니라 "표적"이었다고 표현을 바로잡은 것으로, 실제 침해 여부는 일부에 한정된다는 의미입니다. QTFY는 중국 국가안전부(MSS)의 지원을 받는 것으로 알려진 민간 회사 소속 해킹 그룹으로, 취약점 스캐너(QScan)와 트래픽 은닉 네트워크(QTRouter)를 활용해 2018년부터 미국 정부·병원·통신사·전력사·금융기관·방산업체를 공격해 왔습니다. FBI는 관련 도메인을 압수해 악성 인프라를 무력화했으며, 보안 연구기관 Lumen Black Lotus Labs는 이 그룹이 IoT 기기(사물인터넷 장치)를 대량으로 감염시켜 공격 출처를 숨기는 분산형 봇넷(악성 좀비 네트워크)을 산업적 규모로 운영 중임을 밝혔습니다.

#IoT #네트워크 장비 #병원