TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

엔드포인트 키워드 뉴스

중요기업

The Hacker News·2026. 09. 07.

악성 ScreenConnect 클라이언트, 새로 연결된 호스트에 4단계 VBScript 체인 전파

ConnectWise ScreenConnect라는 원격 지원 도구를 악용해 악성 VBScript를 자동 전파하는 웜(스스로 퍼지는 악성코드)형 공격이 발견됐습니다. 공격자는 기술지원 사기 전화, 피싱 이메일, 가짜 환불 양식 등 세 가지 방법으로 피해자 PC에 가짜 ScreenConnect 클라이언트를 설치한 뒤, 4단계로 이어지는 VBScript 체인을 실행합니다. 이 악성코드는 PC 환경을 분석해 상황에 맞는 최종 페이로드(악성 실행 파일)를 내려받으며, 암호화폐 채굴기·UAC(사용자 계정 컨트롤) 우회 도구·백도어 등을 설치합니다. 특히 감염된 호스트가 새로운 ScreenConnect 연결을 받을 때마다 동일한 악성 스크립트를 상대방에게 전달하는 웜 행동을 보여 피해가 연쇄적으로 확산될 수 있습니다. ConnectWise는 임시 대응으로 파일 전송 권한(TransferFiles)을 비활성화할 것을 권고했습니다.

#EDR #Windows #관리자 페이지

중요의료

ZDNet Korea·2026. 09. 07.

강남언니, 국내외 이용자 22만명 개인정보 유출

미용의료 플랫폼 강남언니에서 국내외 이용자 약 22만명의 개인정보가 유출되는 사고가 발생했습니다. 공격자가 상담내역 조회 API(애플리케이션 프로그래밍 인터페이스, 시스템 간 데이터를 주고받는 연결 통로)에 비정상적으로 접근해 이름·연락처·생년월일·결제 정보·시술 정보 등 민감한 개인정보가 빠져나갔습니다. 회사는 접근 경로를 신속히 차단했지만, 이튿날 공격자가 다른 경로로 재침입을 시도한 사실도 확인됐습니다. 강남언니는 KISA(한국인터넷진흥원)에 자진 신고하고 피해 고객에게 개별 통지했으며, 경찰에 수사를 의뢰한 상태입니다. 의료·미용 관련 민감 정보까지 포함돼 있어 2차 피해(스팸, 사기, 개인정보 악용) 가능성에 유의해야 합니다.

#KISA #개인정보 #개인정보 유출

중요기업

Help Net Security·2026. 09. 07.

공격자, ScreenConnect 파일 전송 기능 통해 악성 코드 유포

원격 지원 도구인 ScreenConnect(스크린커넥트)에서 파일 전송 기능의 취약점이 발견됐으며, 공격자들이 이를 악용해 악성 코드를 퍼뜨리고 있습니다. 공격자는 사회공학(social engineering, 사람을 속여 원하는 행동을 하게 만드는 수법)으로 피해자 PC에 악성 ScreenConnect 클라이언트를 심은 뒤, 연결되는 모든 새 기기에 VBScript(비주얼 베이직 기반 스크립트) 악성 파일을 자동 전파하는 웜(worm, 스스로 복제·확산하는 악성 코드) 방식으로 피해를 키웠습니다. 암호화폐 채굴, 원격 터널링, 보안 설정 변경 등 다양한 악성 행위가 확인됐으며, 공식 패치가 나오기 전까지는 관리자가 파일 전송 권한을 즉시 비활성화해야 합니다. ConnectWise는 해당 주 내로 CVE 식별자와 공식 픽스를 발표하겠다고 밝혔습니다.

#Windows #사회공학 #악성코드

중요기업

The Hacker News·2026. 09. 07.

N-able, 미인증 RCE 취약점으로 5주 만에 N-central 네 번째 핫픽스 발행

N-able은 원격 모니터링·관리 플랫폼 N-central에서 인증 없이 서버를 원격 제어할 수 있는 최고 심각도(CVSS 10.0) 취약점(CVE-2026-86218)을 발견하고, 5주 만에 네 번째 긴급 패치를 배포했습니다. 이 취약점은 2026.3.1.14 미만의 모든 온프레미스(직접 설치형) N-central 서버에 영향을 주며, 하루 전 배포된 Hotfix 3까지 적용한 서버도 예외가 없습니다. N-able의 공식 채널 간 설명이 엇갈려, 릴리스 노트는 "실제 악용 미확인"이라 하고 장애 공지는 "야생에서 악용이 관측됐다"고 밝혀 혼선이 빚어지고 있습니다. 보안 업체 Huntress는 이미 완전히 패치된 고객 환경에서 침해 사고가 발생했음을 확인했으며, 즉시 IP 허용 목록 또는 VPN으로 콘솔 접근을 제한하고 불가능할 경우 서버를 오프라인으로 전환할 것을 권고했습니다. 온프레미스 관리자는 지금 즉시 2026.3.1.14로 업그레이드해야 합니다.

블록체인에 악성코드 숨겼다…해킹된 웹사이트 5,400곳서 클릭픽스 유포

전 세계 5,400개 이상의 해킹된 웹사이트(주로 워드프레스·프레스타숍 기반)가 방문자에게 악성코드를 퍼뜨리는 데 악용되고 있습니다. 공격자는 악성 스크립트를 블록체인(BNB 스마트 체인 테스트넷)에 저장해 차단이 매우 어렵고, 내용을 언제든 바꿀 수 있는 구조를 만들었습니다. 방문자에게는 가짜 보안 인증(CAPTCHA) 화면을 보여주고 직접 명령어를 실행하도록 유도해 최종 악성코드를 설치하는 '클릭픽스(ClickFix)' 방식을 씁니다. 최근에는 웹브라우저의 실시간 통신 기술(WebRTC)을 이용해 일반 보안 장비의 탐지를 피하는 변종까지 등장했습니다. 워드프레스 등 CMS를 운영하는 관리자는 자바스크립트 파일 변조 여부를 즉시 점검하고, 플러그인을 최신 버전으로 유지해야 합니다.

#방화벽 #병원 #보안 인증

중요기업

BleepingComputer·2026. 09. 05.

해킹된 사이트 5,400개 이상, 블록체인에 저장된 ClickFix 페이로드 유포 중

사이버 범죄 조직이 5,400개 이상의 중소기업 웹사이트(주로 WordPress·PrestaShop 기반)를 해킹해 악성 코드 배포에 악용하고 있습니다. 이 조직은 'EtherHiding'이라는 기법으로 블록체인 스마트 컨트랙트(탈중앙화된 자동 실행 프로그램)에 악성 코드를 숨겨 놓아, 일반적인 방법으로는 차단하거나 내리기 매우 어렵습니다. 해킹된 사이트를 방문한 사용자에게는 'ClickFix'라는 가짜 CAPTCHA 화면이 나타나고, 속아서 실행하면 PowerShell(윈도우 명령 실행 도구)을 통해 악성 파일이 설치됩니다. 최근에는 WebRTC(브라우저 실시간 통신 기술)를 이용해 디스크에 흔적을 남기지 않고 공격자 서버와 암호화된 채널을 여는 고도화된 변종도 확인됐습니다. 보안 담당자는 BSC 테스트넷 RPC 엔드포인트 전체를 차단하고 WebRTC 관련 비정상 UDP 트래픽을 모니터링할 것을 권고합니다.

#Windows #방화벽 #브라우저

중요기업

The Hacker News·2026. 09. 04.

WordPress 플러그인 Super Forms·Elementor Pro의 RCE 취약점을 겨냥한 익스플로잇 시도 44만 건 돌파

워드프레스(WordPress) 플러그인인 Super Forms와 Elementor Pro에서 치명적인 보안 취약점이 발견돼 현재 대규모로 악용되고 있습니다. 두 취약점 모두 로그인하지 않은 공격자가 PHP 파일을 서버에 올릴 수 있어, 사이트 전체를 장악하거나 관리자 계정을 임의로 만들고 데이터를 빼낼 수 있습니다. 보안 업체 Wordfence에 따르면 두 취약점을 겨냥한 공격 시도가 이미 44만 건을 넘었습니다. 해당 플러그인을 사용 중인 사이트 운영자는 즉시 최신 버전으로 업데이트하고, 서버에서 의심스러운 PHP 파일이 새로 생겼는지 확인해야 합니다.

러시아 해킹 조직 APT28, 유럽 정부·외교기관 공격…신종 백도어 'HOOKEDGE' 사용

러시아 군사정보기관(GRU)과 연계된 해킹 그룹 APT28이 2025년 9월부터 2026년 7월까지 스페인·루마니아·튀르키예의 정부·외교·방산 기관을 노린 사이버 스파이 캠페인을 벌였습니다. 공격자는 실제 외교 회의 일정처럼 꾸민 가짜 워드 문서를 피싱 미끼로 사용했으며, 피해자가 매크로 실행을 허용하면 'HOOKEDGE'라는 신종 백도어(몰래 설치되어 외부에서 시스템을 제어할 수 있는 악성코드)가 설치됩니다. 이 백도어는 마이크로소프트 엣지(Edge) 브라우저를 몰래 실행하고, 개발자 테스트 도구인 webhook.site라는 정상 서비스를 통해 공격자의 명령을 주고받아 일반 웹 트래픽처럼 위장합니다. 중요 표적으로 판단된 피해자에게는 5분 간격으로 명령을 확인하는 2단계 백도어까지 추가 설치해 실시간에 가까운 원격 제어가 가능하게 했습니다. 조직 내 워드 매크로 실행을 제한하고 webhook.site 등 외부 HTTP 서비스로의 비정상 통신을 모니터링하는 것이 핵심 대응책입니다.

#EDR #개인정보 #백도어

중요통신/IT

BleepingComputer·2026. 09. 04.

HPE, ArubaOS-CX 원격 코드 실행 취약점 등 심각한 보안 결함 패치

HPE(Hewlett Packard Enterprise)가 자사의 네트워크 스위치 운영체제인 ArubaOS-CX에서 발견된 심각한 취약점 24개를 패치했습니다. 그 중 CVE-2026-73749는 인증 없이도 원격에서 공격자가 악성 패킷을 보내 시스템을 마음대로 제어할 수 있는 RCE(원격 코드 실행) 취약점으로, 위험도가 가장 높습니다. ArubaOS-CX는 대기업, 정부기관, 병원, 데이터센터 등에서 널리 사용하는 엔터프라이즈 네트워크 스위치에 탑재된 운영체제라 영향 범위가 넓습니다. HPE는 현재까지 실제 악용 사례나 공개된 공격 코드는 확인되지 않았다고 밝혔으나, 즉시 최신 버전으로 업그레이드할 것을 강력히 권고하고 있습니다.

#CVSS #PoC #RCE

중요기업

The Hacker News·2026. 09. 04.

ThreatsDay: CEO 피싱 킷, 5천 개 Dropbox 계정 해킹, OAuth 함정 + 17건의 추가 소식

이번 주 보안 위협 모음(ThreatsDay)에는 총 20건의 주요 사이버 위협이 담겨 있습니다. 가장 주목할 내용은 마이크로소프트 Teams를 악용한 IT 사칭 원격 침투, 1억 5,300만 건의 운전면허증 정보를 판매하는 신원 도용 서비스 "Nexus" 등장, 그리고 CEO를 겨냥한 고급 피싱 서비스 "BlueKit" 활동입니다. 또한 OAuth(앱 권한 인증) 동의 피싱으로 정부 관료와 언론인 계정을 탈취하는 수법과, AI 지침 파일(llms.txt)을 통해 악성 패키지를 배포하는 새로운 공급망 위협도 확인됐습니다. 비밀번호 변경만으로는 부족하며, 앱 접근 권한 점검과 세션 종료까지 함께 이루어져야 합니다.

#AI #AI 에이전트 #EDR

중요기업

The Hacker News·2026. 09. 03.

공격자들, 신뢰받는 Node.js 런타임을 악성코드 배포 수단으로 악용한 표적 공격 감행

공격자들이 개발자들이 널리 사용하는 정상 소프트웨어인 Node.js(자바스크립트 실행 환경)를 악성코드 배포 수단으로 악용하는 사례가 2026년 2월부터 급증하고 있습니다. 이 방법은 node.exe가 합법적인 서명된 프로그램이기 때문에 기존 백신(안티바이러스) 탐지를 쉽게 우회할 수 있어 공격자들에게 매력적입니다. 공격의 시작점은 대부분 ClickFix라는 사회공학 기법으로, 사용자가 가짜 오류 메시지나 CAPTCHA를 보고 스스로 악성 명령어를 실행하도록 유도합니다. 특히 일부 공격은 이더리움 블록체인(암호화폐 네트워크)을 C2(명령·제어) 서버 주소록으로 활용해, 특정 도메인이나 IP를 차단하는 전통적 방어를 무력화합니다. 정부기관·기술기업·호텔·핀테크 등 다양한 조직이 피해를 입었으며, 현재 여러 위협 행위자 그룹이 이 방식을 동시에 사용 중입니다.

#EDR #Windows #백도어

중요기업

The Hacker News·2026. 09. 03.

Shai-Hulud의 손길이 469개 자격증명 위치로 확장됐다 — 그 의미는

'Shai-Hulud'라는 악성 프로그램(인포스틸러 웜, 감염된 시스템에서 계정 정보를 훔쳐 스스로 퍼지는 악성코드)의 새 변종이 개발자 환경, CI/CD(소프트웨어 자동 빌드·배포 시스템), 클라우드 설정, AI 도구 설정 등 무려 469곳에서 인증 정보(비밀번호·토큰·키 등)를 수집하도록 진화했습니다. 기존 변종이 189곳을 뒤졌던 것에 비해 크게 확대된 것으로, 개발자 PC 한 대가 감염되면 소스 코드, 클라우드 인프라, 패키지 배포 채널까지 연쇄적으로 탈취당할 수 있습니다. 특히 개발자가 소프트웨어 패키지를 배포할 때 쓰는 장기 유효 토큰을 훔쳐 악성 코드를 정상 패키지인 척 배포하는 '공급망 공격'으로 이어질 수 있어 위험합니다. 보안 전문가들은 장기 유효 자격증명을 단기·일회용 방식(OIDC 등)으로 교체하고, 노출된 인증 정보를 위험도 순으로 정리·제거하는 반복 가능한 프로그램을 갖춰야 한다고 강조합니다.

#AI #AWS #GitHub

이전9 / 12다음