TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

트로이목마 키워드 뉴스

중요기업

The Hacker News·2026. 09. 10.

구글 플레이 얼리 액세스 프로그램, 수천 개의 사기성 안드로이드 앱 유포에 악용

구글 플레이의 '얼리 액세스(Early Access)' 프로그램이 악용되어 수천 개의 사기성 안드로이드 앱이 유포되고 있습니다. 이 프로그램은 출시 전 앱에 대해 사용자가 리뷰나 별점을 남길 수 없어, 악성 행위자들이 가짜 카지노 게임·보상 앱 등을 별다른 경고 없이 퍼뜨리는 데 악용하고 있습니다. 해당 앱들은 틱톡·페이스북 광고와 AI로 만든 딥페이크 영상으로 홍보되며, 사용자가 출금 한도에 도달할 때까지 가상 보상을 주다가 실제 지급은 이루어지지 않는 구조입니다. 이와 함께 Hagaseca(원격 제어 트로이목마), Mantax Otax(스파이웨어·랜섬웨어 복합 악성코드), StreamRat(접근성 서비스 남용 악성코드), Gigabud 뱅킹 트로이목마 등 새로운 안드로이드 악성코드 계열도 동시에 등장해 피해가 확산되고 있습니다. 기업 보안 담당자는 임직원의 모바일 앱 설치 정책을 재점검하고 소셜 미디어 광고를 통한 앱 설치에 각별히 주의해야 합니다.

#AI #MDM #개인정보

중요금융

The Hacker News·2026. 09. 10.

Gigabud, 은행 앱 보안 검사 회피 위해 안드로이드 직장 프로필 악용

Gigabud는 2022년부터 활동 중인 안드로이드 뱅킹 트로이목마(금융 정보를 훔치는 악성 앱)로, 최근 'Vwork'라는 두 번째 악성 앱을 함께 설치해 탐지를 더욱 어렵게 만드는 새로운 기법을 사용하고 있습니다. Vwork는 안드로이드의 '직장 프로필(Work Profile)' 기능을 악용해 가짜 은행 앱을 별도의 격리된 공간에 심어두는데, 이 공간은 기존 백신이나 은행 앱의 보안 검사가 닿지 않습니다. 피해자가 진짜 은행 앱을 열면 가짜 로그인 화면이 위에 덮여 계정 정보와 화면 잠금 비밀번호를 탈취하고, 해커는 피해자 몰래 실시간으로 금융 거래를 실행합니다. 2026년 2월~7월 사이 인도네시아에서만 약 1,469개 기기 감염과 96만 달러(약 13억 원) 상당의 피해가 확인됐으며, 브라질·멕시코·필리핀·태국 등 11개국을 겨냥한 샘플도 발견됐습니다. 공식 앱스토어 외부에서 앱을 설치하지 않고, 불필요한 앱에 접근성(Accessibility) 권한을 주지 않는 것이 핵심 예방책입니다.

#결제 #계정 탈취 #비밀번호

중요기업

The Hacker News·2026. 09. 10.

CISA, 실제 악용된 Cisco·Citrix·Fortinet 취약점 3건 KEV 등재…9월 12일까지 연방기관 패치 의무화

미국 사이버보안 인프라보안국(CISA)이 Cisco·Citrix·Fortinet 네트워크 보안 장비에서 발견된 심각한 취약점 3건을 '실제 악용 확인 목록(KEV)'에 추가하고, 연방기관에 2026년 9월 12일까지 패치 적용을 의무화했습니다. 이 중 Cisco Firewall Management Center의 인증 우회 취약점(CVE-2026-20079)은 위험 점수 최고치인 CVSS 10.0으로, 공격자가 인증 없이 원격에서 시스템 루트 권한을 완전히 탈취할 수 있습니다. Fortinet 취약점(CVE-2025-25249)은 러시아어권 금전 목적 해킹 그룹이 이미 악용하여 'PivotC2'라는 악성 원격제어 프로그램(RAT)을 3,000개 이상 IP에 퍼뜨렸으며, 178개 기기가 실제 감염됐습니다. Citrix NetScaler 취약점(CVE-2026-19490)도 허니팟(공격 유인 시스템)에서 56건의 실제 공격 시도가 탐지됐습니다. 해당 제품을 운영 중인 기업은 즉시 패치를 적용하고 침해 흔적을 점검해야 합니다.

#CVSS #RCE #RDP

기업

Help Net Security·2026. 09. 10.

가짜 GTA 6 다운로드 파일, 복합 악성코드 꾸러미로 조급한 게이머들 노린다

아직 출시되지 않은 게임 'GTA 6'의 불법 다운로드를 미끼로 악성 프로그램 꾸러미를 배포하는 공격이 발견됐습니다. 보안 기업 Huntress가 분석한 결과, 해당 파일 안에는 원격 제어 도구(RAT), 정보 탈취 악성코드, 파괴형 랜섬웨어 등 여러 종류의 악성 프로그램이 한꺼번에 포함돼 있었습니다. 설치 과정에서 가짜 오류 메시지로 사용자를 속이는 동안, 백그라운드에서 악성 프로그램이 자동으로 설치되는 방식입니다. 특히 랜섬웨어 기능은 금전 요구보다는 파일 완전 파괴(와이퍼)를 목적으로 활용되고 있어 피해가 심각할 수 있습니다. 최신 Windows Defender로 탐지가 가능하며, 미출시 게임의 불법 다운로드는 절대 시도하지 말 것을 권고합니다.

#GitHub #Windows #랜섬웨어

중요금융

The Hacker News·2026. 09. 07.

JSCeal 악성코드, 탈취한 세션 쿠키로 구글 인증 우회 가능

JSCeal은 암호화폐 투자자를 노리는 정교한 악성 프로그램으로, 페이스북·구글 광고에 가짜 TradingView 설치 파일을 심어 배포됩니다. 이 악성코드는 크롬 등 브라우저에 저장된 비밀번호·쿠키·OAuth 토큰을 훔쳐, 피해자의 구글 계정에 인증 절차 없이 무단 접속(세션 재생 공격)할 수 있습니다. 키 입력 기록·화면 캡처 같은 감시 기능도 갖추고 있으며, 로컬 프록시를 설치해 Binance·Bybit·Ledger 등 주요 암호화폐 플랫폼의 웹 트래픽을 실시간으로 변조합니다. 2024년 말부터 아시아·태평양 및 남미를 중심으로 12개국에서 활동 중이며, 현재도 활발히 개발이 이어지고 있어 각별한 주의가 필요합니다.

#MFA #OAuth #라우터

중요기업

The Hacker News·2026. 09. 04.

새로운 Ted 백도어, 피해 기업 자체 HAProxy 빌드에 숨어 웹 트래픽 가로채

북한과 연계된 것으로 추정되는 해킹 그룹이 한국의 자동차·미디어 기업 두 곳에서 HAProxy(웹 트래픽을 여러 서버로 분산해 주는 소프트웨어)의 실행 파일 자체를 악성 버전으로 교체했습니다. 'ted'라는 이름의 이 악성 도구는 특정 방문자에게만 변조된 웹 페이지를 보여주고, 공격자와의 원격 명령 통신을 일반 HTTP 트래픽처럼 위장해 로그에 흔적도 남기지 않았습니다. 악성코드는 SSH 비밀번호를 훔치고 크론 데몬(자동 작업 예약 프로그램)·로그인 관리 프로세스 등 핵심 시스템 파일도 추가로 변조했으며, 관련 로그 기록을 삭제해 탐지를 회피했습니다. 보안 업체 Rapid7이 침해 지표(IoC)를 공개했으나, HAProxy를 최신 버전으로 업그레이드하더라도 이미 감염된 시스템은 치료되지 않으므로 바이너리 무결성 검사가 반드시 필요합니다.

#DNS #가상화 #공급망

중요금융

전자신문 보안·2026. 09. 02.

"통화 중 카드정보 탈취"…그룹아이비, 신종 NFC 악성코드 발견

보안 기업 그룹아이비(Group-IB)가 'WindRelay'라는 새로운 NFC(근거리무선통신) 중계 악성코드를 발견했습니다. 사기범은 은행 직원을 사칭해 전화 통화 중 피해자에게 원격제어 악성코드 'SpyNote'를 설치하게 한 뒤, 스마트폰을 몰래 조종해 WindRelay까지 심습니다. 피해자가 카드를 스마트폰에 한 번만 갖다 대고 비밀번호를 입력하면, 그 정보가 사기범의 가짜 결제 단말기로 실시간 전송되어 무단 결제에 사용됩니다. 이 모든 과정이 단 13분 안에 이뤄진 사례가 확인됐으며, 2025년 11월부터 올해 7월까지 체코·슬로바키아·슬로베니아에서 관련 악성 샘플 23개와 명령제어 서버 4개가 발견됐습니다. 금융기관은 고객 통화 중 공식 앱스토어 외부 앱 설치나 접근성 서비스 남용 등 이상 징후를 즉시 탐지하고 안내하는 체계를 갖춰야 합니다.

그룹아이비, 신종 'WindRelay' 악성코드 발견…실시간 통화 중 원격 제어와 NFC 노린다

보안 기업 그룹아이비(Group-IB)가 'WindRelay'라는 새로운 악성코드를 발견했습니다. 이 악성코드는 스마트폰의 NFC(근거리 무선 통신) 기능을 몰래 이용해 피해자의 실제 카드 정보를 사기범의 가짜 결제 단말기로 실시간 전송합니다. 사기범은 은행 직원을 사칭해 전화 통화 중에 피해자를 속여 원격 제어 앱(SpyNote RAT)을 설치하게 한 뒤, 피해자 몰래 WindRelay를 추가로 심어 단 13분 만에 대출 신청과 카드 현금 인출을 동시에 저질렀습니다. 현재까지는 체코·슬로바키아·슬로베니아 등 중동부 유럽에서 피해가 확인됐으나, 모바일 결제 사용률이 높은 국내 금융 환경도 위험에서 자유롭지 않습니다. 금융기관은 공식 앱 스토어 외부에서 앱이 설치되는 징후나 접근성 서비스 악용 같은 원격 제어 지표를 적극 모니터링해야 합니다.

#NFC #개인정보 #결제

중요기업

The Hacker News·2026. 09. 04.

ThreatsDay: CEO 피싱 킷, 5천 개 Dropbox 계정 해킹, OAuth 함정 + 17건의 추가 소식

이번 주 보안 위협 모음(ThreatsDay)에는 총 20건의 주요 사이버 위협이 담겨 있습니다. 가장 주목할 내용은 마이크로소프트 Teams를 악용한 IT 사칭 원격 침투, 1억 5,300만 건의 운전면허증 정보를 판매하는 신원 도용 서비스 "Nexus" 등장, 그리고 CEO를 겨냥한 고급 피싱 서비스 "BlueKit" 활동입니다. 또한 OAuth(앱 권한 인증) 동의 피싱으로 정부 관료와 언론인 계정을 탈취하는 수법과, AI 지침 파일(llms.txt)을 통해 악성 패키지를 배포하는 새로운 공급망 위협도 확인됐습니다. 비밀번호 변경만으로는 부족하며, 앱 접근 권한 점검과 세션 종료까지 함께 이루어져야 합니다.

#AI #AI 에이전트 #EDR

중요기업

The Hacker News·2026. 09. 04.

BraZetsu 악성코드, 감염된 윈도우 호스트를 지하 마켓플레이스 상품으로 전환

BraZetsu는 파이썬으로 만들어진 정교한 윈도우 악성코드 프레임워크로, 감염된 컴퓨터에 대한 접근권을 지하 마켓플레이스(Infected Marketplace)에서 약 5.80달러에 판매하는 방식으로 운영됩니다. Exilware라는 위협 그룹이 개발·운영하며, 생성형 AI(인공지능)를 활용해 피해 시스템의 상업적 가치를 자동으로 평가하고 목표 우선순위를 결정합니다. 브라질 기업이 사용하는 CNAB 형식의 금융 송금 파일을 탈취하거나 공격자의 계좌 정보로 바꿔치기하는 기능도 갖추고 있어 실질적인 금융 피해로 이어질 수 있습니다. 주로 이베리아 반도(스페인·포르투갈)와 라틴 아메리카 기업을 표적으로 하며, 현재까지 5개 버전이 발견되었고 가장 최근 버전은 브라질 기업 인프라에 집중하고 있습니다. 2차 구매자가 이미 뚫린 시스템에 자신의 악성코드를 추가 배포할 수 있어 피해가 연쇄적으로 확산될 위험이 있습니다.

#AI #Windows #결제

중요기업

The Hacker News·2026. 09. 03.

가짜 소프트웨어 설치 파일, Windows 업데이트 비활성화 및 Microsoft Defender 약화

'Silver Fox(실버폭스)'라는 중국계 해킹 그룹이 Microsoft Edge, Baidu, Kaspersky 등 유명 소프트웨어 공식 사이트를 흉내 낸 가짜 다운로드 페이지를 만들어 악성 설치 파일을 배포하고 있습니다. 이 악성 프로그램은 설치되면 Windows 업데이트를 강제로 끄고, Microsoft Defender(윈도우 기본 백신)의 검사 대상에서 자신을 제외시켜 탐지를 피합니다. 또한 랜섬웨어 대응에 쓰이는 볼륨 섀도 복사본(시스템 백업 스냅샷)을 삭제하고, 공격자 서버와 비표준 포트로 원격 통신 채널을 열어 피해 시스템을 장악합니다. 의료·제조·물류·정부 등 다양한 업종의 다국적 기업(특히 중국 법인)이 피해를 입었으며, ValleyRAT·Gh0st RAT 등 강력한 악성코드가 최종 탑재물로 사용됩니다. 소프트웨어는 반드시 공식 벤더 사이트나 신뢰할 수 있는 경로에서만 내려받아야 하며, 의심스러운 설치 파일 실행 전 해시 값을 검증하는 절차가 필요합니다.

#Windows #랜섬웨어 #백도어

중요공공

The Hacker News·2026. 09. 02.

악성 Apache 모듈로 브라질 정부 사이트 트래픽 납치해 도박 페이지 유도

중국어권 사이버범죄 그룹 'Gambling Goblin'이 브라질 정부 기관과 교육기관의 웹 서버에 악성 Apache 모듈을 심어, 방문자를 온라인 도박·스포츠 베팅 사이트로 몰래 연결하는 공격이 확인됐습니다. 피해자는 주소창에 정상 정부 도메인이 표시되는 채로 가짜 구글플레이·마이크로소프트 스토어 등을 모방한 피싱 페이지로 유도됩니다. 공격자는 서버에 침투한 뒤 DownPro·AlphaAgent·oRAT·SSH 무차별 대입 도구 등 다양한 악성 도구를 배포하고, 3snake 기반 도구로 서버 관리자 계정 정보까지 탈취합니다. 조사 기관 Hunt.io는 탈취된 브라질 정부 서브도메인에서 생성된 URL이 63만 개 이상이라고 밝혔습니다. 이 그룹은 2022년 아시아 도박 사이트를 노린 것으로 알려진 위협 행위자 Earth Berberoka와 연관된 것으로 분석됩니다.

#GitHub #Windows #계정 탈취

이전3 / 4다음