취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
중요기업북한 해킹 그룹 WaterPlum이 2025년 12월부터 2026년 7월까지 100개국 이상에서 최소 3만 대의 기기를 악성코드로 감염시켰습니다. 이들은 AI·암호화폐 기업이나 채용 플랫폼을 사칭해 구직자에게 접근하고, 가짜 면접 중 악성 npm 패키지나 Visual Studio Code 프로젝트를 실행하도록 유도했습니다. 공격을 통해 브라우저 저장 비밀번호, 암호화폐 개인 키, 클립보드 내용 등을 탈취했으며 7,000개 이상의 암호화폐 지갑에서 총 1,071만 달러를 북한으로 송금했습니다. 미국·일본·호주·독일 당국은 공동 경보를 발령하며 기업에 채용 시 지원자 신원 검증 강화와 최소 권한 원칙 적용을 권고했습니다. 개발자는 출처가 불분명한 코드를 샌드박스(격리된 실행 환경) 밖에서 절대 실행하지 않도록 주의해야 합니다.
자세히 보기
기업해킹 그룹 ShinyHunters가 유명 랜섬웨어 조직 Clop의 다크웹(Tor) 데이터 유출 사이트를 침해하고 사이트를 변조했습니다. ShinyHunters는 Grav CMS라는 웹사이트 관리 소프트웨어의 인증 없이 파일을 올릴 수 있는 취약점을 악용해 서버에 침투했으며, 소스코드·시스템 로그·Tor 비공개 키 등 민감한 데이터를 훔쳤다고 주장합니다. 특히 Tor 사이트의 비공개 키를 확보했다면, Clop이 쫓아내도 같은 주소로 가짜 사이트를 운영할 수 있어 피해가 클 수 있습니다. 이 사건의 배경에는 두 사이버범죄 집단 간 오래된 갈등이 있는데, Clop이 2025년 Oracle E-Business Suite 취약점(CVE-2025-61882)을 악용해 데이터를 탈취할 때 ShinyHunters의 익스플로잇(공격 코드)을 무단 사용했다는 주장이 도화선이 됐습니다. ShinyHunters는 이제 탈취한 데이터로 Clop을 역으로 협박할 계획이라고 밝혔습니다.
자세히 보기
중요공공파키스탄 연계 해킹 그룹 Transparent Tribe(일명 APT36)가 인도·아프가니스탄의 정부 및 국방 기관을 노린 새로운 사이버 첩보 캠페인이 포착됐습니다. 이번 공격에서는 Rust 언어로 만든 백도어 RUSTYSHADE를 포함해 총 4종의 신규 악성코드가 사용됐으며, 일반적인 공격자 서버 대신 비공개 GitHub 저장소를 명령·제어(C2) 통신 채널로 활용하는 것이 특징입니다. 악성코드는 화면·웹캠 촬영, 문서 대량 탈취, USB를 통한 내부망 전파까지 수행할 수 있어 피해 범위가 광범위합니다. 또한 인도 유력 언론사를 사칭한 타이포스쿼팅(오탈자 도메인) 사이트를 통해 악성 스크립트를 배포하는 방식도 확인됐습니다. 보안 담당자는 GitHub API를 이용한 비정상 트래픽 탐지와 외부 저장 매체 정책 강화를 즉시 검토해야 합니다.
자세히 보기
중요기업Microsoft가 Azure AI Foundry에서 CVSS 최고 점수인 10.0짜리 취약점(CVE-2026-85889)을 포함해, Microsoft 365 Copilot·Azure DB·Azure Cosmos DB 등 여러 클라우드 서비스의 심각한 권한 상승 취약점을 패치했습니다. 클라우드 기반 취약점들은 Microsoft가 서버 측에서 이미 자동으로 수정했기 때문에 사용자가 별도로 조치할 필요는 없습니다. 반면 Windows 11 관련 두 취약점(CVE-2026-62721, CVE-2026-85921)은 긴급 누적 업데이트(KB5129194)를 통해 배포되었으므로, Windows 11 버전 26H1 사용자는 직접 업데이트를 적용해야 합니다. 또한 지난주 패치된 Windows ALPC(고급 로컬 프로시저 호출) 취약점이 Chrome 취약점 두 개와 결합된 'BlueMoon'이라는 공격 도구로 실제 스파이 활동에 악용되고 있어 빠른 패치 적용이 중요합니다.
자세히 보기
중요기업보안 연구자들이 npm(자바스크립트 패키지 저장소)에서 'WeaselBiscuit'이라는 신종 정보 탈취 악성코드를 심은 패키지 13개를 발견했습니다. 이 악성코드는 북한의 'Contagious Interview' 캠페인과 연관된 BeaverTail, OtterCookie 악성코드와 유사한 코드를 공유하지만, 더 작고 단순하게 만들어진 형태입니다. 특히 Windows·macOS·Linux 모두에서 크롬 브라우저 확장 프로그램의 저장 데이터를 통째로 훔쳐내며, 암호화폐 지갑 확장 프로그램의 정보도 노출될 수 있어 금전적 피해로 이어질 수 있습니다. Windows 환경에서는 클립보드와 키 입력도 기록합니다. 해당 패키지 13개를 프로젝트에서 사용하고 있다면 즉시 제거하고 관련 자격증명을 교체해야 합니다.
자세히 보기
중요기업Check Point의 Security Management Server, Security Gateway, Log Server에서 다수의 심각한 취약점이 발견되었습니다. 그 중 CVE-2026-91843은 로그인 과정의 스택 버퍼 오버플로(프로그램 메모리 경계를 넘쳐 공격자가 악성 코드를 실행할 수 있는 결함)로, 권한이 전혀 없는 외부 공격자도 원격에서 루트(최고 관리자) 권한으로 시스템을 장악할 수 있습니다. 이미 실제 공격에 활용된 취약점도 두 건 있는데, CVE-2026-50751은 Qilin 랜섬웨어 조직이 6월부터 악용 중이고, CVE-2026-16232는 7월부터 관리자 패널 무단 접근에 사용되고 있습니다. Check Point는 최신 LivePatch 적용과 함께 신뢰된 IP 주소로 관리 접근을 제한하는 임시 조치를 권고하고 있으며, 네덜란드 국가사이버보안센터(NCSC-NL)도 추가 취약점에 대한 공격 시도가 곧 발생할 것으로 예상한다고 경고했습니다.
자세히 보기
중요기업'PhantomRaven'라는 JavaScript 기반 정보 탈취 악성코드가 npm 패키지 저장소를 통해 유포되고 있습니다. 공격자는 100개 이상의 악성 패키지를 업로드해 개발자 PC에서 인증 토큰, GitHub 자격증명, CI/CD 환경변수 등 민감한 정보를 훔쳤습니다. CrowdStrike 분석에 따르면 이 악성코드는 LLM(대형 언어 모델)을 활용해 제작된 것으로 높은 신뢰도로 판단됩니다. 특이하게도 이 위협 행위자는 버그 바운티(취약점 신고 포상제) 사냥꾼을 자처하며, 탈취한 정보를 금전 판매 대신 기업으로부터 보상금을 받는 용도로 활용한 정황이 확인됐습니다. npm 외 PyPI(파이썬 패키지 저장소)에도 유사 공격을 시도한 사실이 드러나 개발 공급망 전반에 걸친 위협으로 평가됩니다.
자세히 보기
중요기업'RatHat'이라는 새로운 안드로이드 악성코드가 발견됐습니다. 이 악성코드는 문자 피싱(스미싱)이나 가짜 앱 배포 사이트를 통해 퍼지며, 설치되면 스마트폰의 접근성 기능과 ADB(안드로이드 개발자 디버그 도구)를 악용해 일반 앱 보안 울타리를 벗어나 기기를 장악합니다. 가장 큰 특징은 피해자가 앱을 직접 삭제해도 공격자가 기기 접근 권한을 유지할 수 있다는 점입니다. 또한 생성형 AI를 활용해 화면을 자동으로 탐색·조작하며, 문자 메시지·비밀번호·화면 녹화·키 입력 등 광범위한 정보를 탈취합니다. 중국 기반 위협 조직이 운영하는 것으로 추정되며, 기존 서명 기반 모바일 보안 솔루션으로는 탐지가 어렵습니다.
자세히 보기
중요금융'RatHat'이라는 새로운 안드로이드 악성코드가 발견됐습니다. 이 악성코드는 AI를 이용해 감염된 기기의 화면을 자동으로 조작하는 기능을 갖추고 있어 기존 악성코드보다 탐지하기 훨씬 어렵습니다. 중국 연계 위협 행위자가 제작한 것으로 추정되며, 구글 플레이 외부의 APK(안드로이드 앱 파일) 설치를 유도하는 피싱 사이트나 문자 메시지를 통해 유포됩니다. 감염되면 은행·가상자산 앱 위에 가짜 화면을 덮어씌워 계정 정보와 비밀번호를 탈취하고, 일회용 비밀번호(OTP) 문자까지 가로챕니다. 공식 앱 마켓 외부의 APK 설치를 피하고, 앱에 접근성(Accessibility) 권한을 부여하지 않는 것이 핵심 예방책입니다.
자세히 보기
중요기업이번 주 보안 위협 요약 뉴스레터에는 25건의 사이버보안 사건이 담겼습니다. 가장 시급한 이슈는 랜섬웨어 조직이 VMware vCenter의 심각한 취약점(CVE-2026-59310)을 실제로 악용하고 있다는 점과, Cyclops Blink 악성코드 변종이 Cisco FMC 장비를 공격하는 데 두 개의 이미 알려진 취약점(CVE-2026-20079, CVE-2026-20316)이 사용되고 있다는 점입니다. AI(인공지능)가 공격 도구로 활용되는 사례도 두드러지는데, AI 에이전트가 스스로 데이터 침해를 실행하거나, 악성코드가 AI를 이용해 보안 솔루션의 탐지를 피하는 사례가 보고됐습니다. Oracle은 800개 이상의 취약점에 대한 패치를 발표했으며, 정보 탈취형 악성코드가 AI 도구에 저장된 토큰·설정·프롬프트 기록까지 수집 대상으로 삼기 시작해 기업 보안 담당자의 주의가 필요합니다.
자세히 보기
중요기타이란 정부와 연계된 해킹 그룹 'Handala Hack'이 텔레그램을 원격 명령 통제(C2) 채널로 사용하는 악성코드 **HEAVYGRAM**을 활용해 이란 반정부 인사, 언론인, 반체제 단체를 집중 공격하고 있습니다. HEAVYGRAM은 비밀번호 탈취, 화면 캡처, 마이크 도청, 파일 삭제 등 다양한 기능을 갖춘 백도어(원격 조종 악성코드)로, 텔레그램·왓츠앱·인스타그램 등 SNS를 통한 사회공학(사람을 속여 악성 파일을 실행하게 하는 기법) 방식으로 퍼집니다. 악성코드는 Pictory, KeePass, Telegram 같은 정상 앱으로 위장해 배포되며, 설치 후 Windows 레지스트리에 자동 실행을 등록해 지속적으로 활성 상태를 유지합니다. FBI는 2026년 3월과 최근 두 차례 경보를 발령했으며, 영국 국가사이버보안센터(NCSC)도 같은 악성코드를 'CHOSEN BRICK'이라는 별칭으로 추적 중입니다. 반정부 활동가나 언론인과 연관된 조직의 보안 담당자라면 즉각적인 모니터링 강화와 의심 파일 실행 차단이 필요합니다.
자세히 보기
중요공공중국과 연계된 국가 지원 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 심어두는 원격 접근 악성 프로그램)를 사용해 2025년 8월부터 라틴아메리카 여러 국가의 정부 기관을 집중 공격하고 있습니다. 이 악성코드는 파일 탈취, 화면 캡처, 명령 실행 등 다양한 스파이 기능을 갖추고 있으며, 보안 제품의 탐지를 피하는 고급 기술을 다수 내장하고 있습니다. ESET 연구팀에 따르면, FamousSparrow가 공격한 대상의 90%가 라틴아메리카 지역에 집중되어 있으며, 아르헨티나·에콰도르·파나마 등 8개국 정부 기관이 피해를 입었습니다. 기존에 사용하던 SparrowDoor 악성코드를 SparroWocky로 교체했으나 DLL 사이드로딩(정상 프로그램을 악용해 악성 코드를 몰래 실행하는 기법)이라는 핵심 침투 방식은 동일하게 유지됩니다. 초기 침투 경로는 아직 밝혀지지 않았으며, 감염 여부 확인과 네트워크 탐지 규칙 업데이트가 필요합니다.
자세히 보기