취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요통신/IT워드프레스(WordPress) 사이트를 노린 새로운 백도어(backdoor, 몰래 다시 침투할 수 있게 만든 뒷문) 악성코드 'SC'가 발견됐습니다. 이 악성코드는 파일, 데이터베이스, 메모리 등 최소 8곳에 동시에 자신을 숨겨두기 때문에, 일부를 삭제해도 남은 곳에서 전체를 다시 복구합니다. 심지어 서버 메모리(공유 메모리)에까지 숨어있어 파일과 데이터베이스를 모두 청소해도 다음 접속 때 되살아납니다. 공격자는 이를 통해 사이트를 완전히 장악하고, 방문자에게 악성 스크립트를 심거나 관리자 계정을 몰래 만들 수 있습니다. 또한 이 보도와 함께, wpForo Forum 플러그인의 SQL 인젝션 취약점(CVE-2026-1581)이 실제로 공격에 악용되고 있다는 사실도 함께 확인됐습니다.
자세히 보기공격자들이 이미 패치가 나온 이메일 협업 솔루션 Zimbra Collaboration Suite(ZCS)의 보안 취약점을 악용해 웹셸(공격자가 시스템을 계속 조작할 수 있게 심어두는 악성 코드)을 설치하고 메일함 데이터를 빼가는 정황이 마이크로소프트 보안 연구팀에 의해 확인됐습니다. 이번에 악용된 취약점은 CVE-2026-73570으로, 로그인 절차 없이도 시스템 명령을 주입해 원격에서 시스템을 마음대로 실행할 수 있는(RCE) 매우 위험한 결함입니다. 심각도 점수(CVSS)는 10점 만점에 8.9점으로 높은 편이며, 실제 공격에 악용된 사례가 확인되어 미국 사이버보안기관(CISA)의 실제 악용 취약점 목록(KEV)에도 등재됐습니다. Zimbra를 사용하는 기업은 관련 보안 패치 적용 여부를 즉시 점검해야 합니다.
자세히 보기
중요기업공격자들이 ChatGPT의 '커스텀 GPT(Custom GPT)' 기능을 악용해 가짜 제품 안내처럼 꾸민 뒤, 이용자를 악성 사이트로 유도하는 새로운 공격이 발견됐습니다. 이용자가 유도된 구글 사이트에서는 가짜 캡차 화면을 통해 이른바 'ClickFix' 수법으로 악성 PowerShell 명령을 직접 복사·실행하도록 속이며, 이 과정에서 정상 서명된 캐논(Canon) 실행파일을 악용한 DLL 사이드로딩으로 원격제어 악성코드(RAT)를 심습니다. 이 RAT는 화면·카메라·마이크 감시, 파일 검색, 추가 악성코드 실행 등 광범위한 기능을 갖추고 있으며 현재까지 최소 40명이 감염된 것으로 확인됐습니다. 이와 함께 OpenAI Codex·Anthropic Claude를 사칭한 사이트, 정상 사이트 해킹을 통한 ClearFake/EtherHiding 공격 등 ClickFix 기법을 쓰는 다른 캠페인들도 동시에 다수 발견되고 있어, 신뢰받는 플랫폼을 악용한 사회공학 공격이 확산되는 추세입니다.
자세히 보기
중요기업정체불명의 공격자들이 Citrix NetScaler ADC와 NetScaler Gateway 장비의 최근 패치된 취약점(CVE-2026-88772 등)을 악용해 북미와 유럽의 정부, 금융, 기술, 교육, 법률 기업들을 공격했습니다. 이 취약점은 인증을 우회하고 시스템 최고 권한(root)을 탈취할 수 있는 심각한 결함으로, 공격자들은 이를 통해 WHIPSHOT이라는 웹셸과 SLAPSHOT이라는 내부망 침투 도구를 심었습니다. 공격자는 정상 파일처럼 위장한 악성 파일을 몰래 설치해 시스템을 계속 장악하고, 흔적을 지우면서 내부 정찰과 계정정보 탈취를 시도했습니다. 보안 업체들은 9월 28일부터 이 취약점을 노린 공격이 대규모로 확산되고 있다고 경고했습니다. 인터넷에 노출된 네트워크 장비들은 보안 탐지 도구가 닿기 어려운 곳이라 공격자들이 계속 노리는 표적이 되고 있습니다.
자세히 보기
중요공공프랑스 국세청(DGFIP) 직원들의 로그인 정보가 정보탈취형 악성코드(infostealer)에 의해 도용되면서, 공격자가 6~7월에 걸쳐 개인 약 35만 명과 기업 약 25만 곳의 세무 데이터를 빼갔습니다. 이 사실은 피해 발생 후 무려 7주가 지난 8월 12일, 공격자가 온라인 포럼에 직접 자랑하면서야 드러났습니다. 프랑스 사이버보안청(ANSSI) 조사 결과, 공격 자체는 고도의 기술이 필요한 것이 아니었고 허술한 로그인 보안, 제대로 분리되지 않은 내부망, 감시 체계의 빈틈이 겹쳐 벌어진 일이었습니다. 특히 경보가 여러 차례 울렸는데도 담당팀이 비밀번호만 초기화하고 공격자의 로그인 세션 자체는 끊지 않아 피해가 계속 커졌습니다. ANSSI는 다중인증(MFA) 도입, 비밀번호 재설정 시 모든 세션 강제 종료, 업무 앱 전체에 대한 통합 로그 감시(SIEM) 등을 권고했습니다.
자세히 보기
중요기업AI 도구를 외부 서비스와 연결하는 표준인 MCP(Model Context Protocol)의 공식 파이썬 SDK에서 심각한 보안 결함이 발견됐습니다. 이 결함이 있는 버전을 쓰면, 악의적인 MCP 서버가 클라이언트를 속여 진짜 로그인 서비스 대신 자신에게 OAuth(로그인 인증) 정보인 클라이언트 비밀키, 인가 코드, PKCE 검증 키를 보내도록 만들 수 있습니다. 공격자는 이 정보로 진짜 서비스에서 유효한 접근 토큰을 발급받아 해당 앱이 가진 권한을 그대로 사용할 수 있습니다. 보안업체 Cycode가 이를 실제로 재현해 보고했으며, 아직 실제 공격 사례는 확인되지 않았습니다. SDK 1.30.0과 2.2.0 버전에서 수정됐으므로 즉시 업그레이드하고, 일부 인증 방식은 추가 설정(issuer=)까지 해야 완전히 안전합니다.
자세히 보기
중요통신/IT연구진이 "Carbonato"라는 새로운 봇넷 악성코드를 발견했습니다. 이 악성코드는 인증 없이 외부에 노출된 Docker 서버(2375번 포트)를 찾아 침투한 뒤, 오픈소스 AI 에이전트 프레임워크인 Hermes Agent를 설치합니다. 공격자는 이 AI 에이전트의 "인격 설정 파일"을 조작해 텔레그램으로 명령을 내리면 AI가 스스로 서버를 장악하고 자격증명을 훔치도록 만들었습니다. 이 봇넷은 벌레(웜)처럼 주변 네트워크의 다른 취약한 Docker 서버로 계속 퍼져나가며, 코스타리카에 있는 것으로 추정되는 배후 조직이 운영 중입니다. 이 사건은 최근 AI 도구를 활용해 정찰부터 침투, 정보 탈취까지 공격 전 과정을 자동화하는 사례가 늘고 있는 흐름의 일부로, 실제로 온라인 쇼핑몰 27곳에서 60만 건 이상의 신용카드 정보가 유출된 사례도 함께 보고됐습니다.
자세히 보기
중요기업Lunex Stealer(루넥스 스틸러)는 우크라이나 웹사이트에 심어진 가짜 CAPTCHA 페이지로 사용자를 속여 악성 파일을 설치하게 만드는 정교한 악성코드입니다. 특히 AMD 그래픽 드라이버의 취약점(CVE-2023-20598)을 악용해 보안 프로그램을 몰래 무력화한 뒤 Chrome·Edge 등 7개 브라우저의 비밀번호, 쿠키, 암호화폐 지갑 데이터를 탈취합니다. 브라우저 안에 PowerShell 스크립트와 악성 확장 프로그램을 심어 악성코드 파일을 삭제하거나 재부팅해도 살아남는 강력한 지속성을 갖췄습니다. 현재 13개국 28개 서버로 빠르게 확산 중인 악성코드 서비스(MaaS) 플랫폼이며, HVCI(하이퍼바이저 기반 커널 보호)나 마이크로소프트 취약 드라이버 차단 목록으로도 막히지 않아 즉각적인 대응이 필요합니다.
자세히 보기
중요기업PamStealer는 macOS를 노리는 정보 탈취 악성코드로, 최신 버전에서 서버와 실시간 암호화 키 교환 없이는 악성 파일 자체를 분석조차 할 수 없도록 설계가 크게 바뀌었습니다. 피해자는 가짜 암호화폐 지갑 앱 사이트("wavel[.]app")를 통해 감염되며, 파일을 열면 사용자 모르게 4가지 방식으로 시스템에 뿌리를 내립니다. 감염 후에는 macOS 비밀번호, 키체인(macOS의 내장 비밀번호 저장소), Chrome·Firefox 등 주요 브라우저의 로그인 정보, 각종 개인 파일까지 광범위하게 훔쳐갑니다. Git을 사용하는 개발자 환경에서는 커밋·체크아웃 동작마다 악성 복구 스크립트가 자동 실행되어 제거가 더욱 어렵습니다. macOS 사용자, 특히 개발자와 암호화폐 이용자는 출처 불명의 dmg 파일 실행에 각별히 주의해야 합니다.
자세히 보기
중요기업해커들이 우크라이나의 정상적인 기업 웹사이트를 침해해, 가짜 Cloudflare 인증 화면을 삽입하는 'ClickFix' 공격 캠페인이 활발히 진행 중입니다. 피해자가 해당 페이지를 방문하면 악성 명령어가 클립보드에 자동 복사되고, 이를 Windows 실행창에 붙여넣도록 유도해 'Psychedelic Stealer'라는 신종 정보 탈취 악성코드가 설치됩니다. 이 악성코드는 Chrome·Edge 등 브라우저 비밀번호, 계정 토큰, MetaMask 등 암호화폐 지갑 데이터를 훔치고, 지속 실행을 위해 예약 작업(Scheduled Task)까지 등록합니다. 별도로, 같은 ClickFix 방식으로 유포되는 'RemotePanel'과 'BoundSiphon'이라는 .NET 기반 악성코드도 발견됐는데, RemotePanel은 Windows 서비스로 위장해 원격 제어 권한을 유지하고 BoundSiphon은 메모리에서 직접 실행되며 자격증명과 암호화폐 지갑을 탈취합니다. 두 캠페인 모두 러시아어 흔적이 발견됐으며, 주요 표적은 우크라이나 사용자로 분석됩니다.
자세히 보기
중요기업'Corp MDM'라는 이름의 안드로이드 스파이웨어가 물류 기업 직원들을 노리고 있습니다. 공격자는 CEVA, TKW Logistics 같은 실제 물류 회사 브랜드를 도용한 가짜 구글 플레이 페이지를 통해 악성 앱을 배포하며, 이 앱은 설치 후 새로 수신되는 문자메시지(SMS)를 몰래 빼내고 전화를 다른 번호로 돌립니다. SMS 탈취는 OTP(일회용 비밀번호)나 계정 복구 코드 등 보안상 민감한 정보를 노출시킬 수 있어 위험도가 높습니다. 이 캠페인은 안드로이드 악성 앱 외에도 윈도우 악성코드 배포와 자격증명 피싱을 동시에 수행하는 더 큰 공격 작전의 일부입니다. 러시아·아르메니아 연계 위협 행위자가 배후로 추정됩니다.
자세히 보기
중요기업ClickFix는 사용자가 직접 악성 명령어를 자신의 PC에 붙여넣도록 속이는 사회공학 공격 기법으로, 취약점이나 파일 첨부 없이 기업 네트워크에 침투합니다. Microsoft에 따르면 2025년 기업 침해사고 초기 침투의 47%가 이 기법에 의한 것으로, 일반 피싱을 제치고 1위를 차지했습니다. CTM360은 17,000개 이상의 감염 URL을 분석해, 공격 인프라가 블록체인(Polygon)을 이용해 도메인 차단을 무력화한다는 사실을 밝혔습니다. Windows·macOS·Linux 모두 표적이 될 수 있으며, 결국 정보탈취 악성코드(Vidar Stealer)가 정상 Microsoft 프로세스 내부에서 실행됩니다. 대응책으로는 관리 브라우저에서 클립보드 쓰기 기본 차단, 스크립트 인터프리터의 인증 프록시 경유 강제 적용이 가장 효과적입니다.
자세히 보기
