보안 뉴스

GeoNetwork, 정부 지오포털 백엔드에 영향을 주는 비인증 RCE 체인 취약점 수정

오픈소스 지리공간 메타데이터 카탈로그인 GeoNetwork에서 두 개의 취약점(CVE-2026-63219, CVE-2026-58400)을 연결하면 로그인 없이도 서버를 원격으로 장악할 수 있는 RCE(원격 코드 실행) 공격이 가능한 것으로 밝혀졌습니다. 첫 번째 취약점은 인증 없이 악성 스타일시트 파일을 업로드할 수 있게 하고, 두 번째는 그 파일이 실행될 때 운영체제 명령까지 수행하도록 합니다. 인터넷에 노출된 취약 버전 GeoNetwork 121개 중 89%가 정부·군·국가기관과 관련된 것으로 확인되어 파급력이 큽니다. GeoNetwork 4.4.12 및 4.2.17 버전에서 수정되었으므로 해당 소프트웨어를 운영 중인 기관은 즉시 업그레이드하거나, 그 전까지 리버스 프록시에서 formatter 엔드포인트의 쓰기 요청을 차단해야 합니다.

#CVSS #RCE #SQL 인젝션

기업

러시아 해커, 사이프러스서 미국으로 인도…엑셀 악성코드로 수천 대 PC 감염 혐의

미국 법무부(DoJ)는 2016~2017년에 프리랜서 플랫폼 이용자 약 8만 명에게 악성 엑셀 파일을 보내 수천 대의 컴퓨터를 감염시킨 혐의로 러시아 국적자 악툴라예프(Aktulaev)를 기소했습니다. 그는 사이프러스에서 체포된 후 2026년 8월 미국으로 인도돼 샌프란시스코 연방법원에 출석했습니다. 공격에 사용된 악성코드는 TVRAT(원격 접속 트로이목마)와 DarkVNC(숨겨진 원격 제어 도구)로, 피해자 몰래 컴퓨터를 원격 제어하고 개인정보·계정 정보를 탈취하는 방식이었습니다. 마이크로소프트는 2022년부터 인터넷에서 받은 오피스 파일의 매크로를 기본 차단해 이 공격 방식을 봉쇄했지만, 프리랜서·구직 플랫폼을 미끼로 삼는 유사 수법은 북한 해커(Lazarus Group)와 러시아 연계 그룹(Sandworm) 등을 통해 현재도 계속되고 있습니다. 임직원이 프리랜서 플랫폼이나 구직 사이트에서 받은 파일을 열 때는 매크로 실행 요청에 각별히 주의해야 합니다.

#Windows #개인정보 #백도어

기업

Help Net Security·2026. 09. 02.

미국, 프리랜서 8만 명에게 악성코드 유포한 러시아인 기소

미국 캘리포니아 연방 대배심이 러시아 국적자 세아르주딘 아크툴라예프(40세)를 악성코드 유포 혐의로 기소했습니다. 그는 2016년부터 2017년까지 프리랜서 고용 플랫폼을 악용해 가짜 계정 255개로 악성 매크로가 삽입된 Microsoft Excel 파일을 8만 명에게 발송했습니다. 이를 통해 피해자 PC에 TVRAT와 DarkVNC라는 원격 제어 악성코드(RAT, 감염된 컴퓨터를 인터넷을 통해 몰래 조종하는 프로그램)를 심어 개인정보와 전자상거래 로그인 정보를 탈취했습니다. 피해자의 절반이 미국 내에 있었으며, 피고인은 2025년 5월 키프로스에서 체포돼 미국으로 송환됐습니다. 미국 법무부는 같은 날 러시아 연계 Sality 봇넷 인프라 해체 작업도 병행 중임을 발표했습니다.

#가상화 #개인정보 #결제

중요공공

배터리 저장소 사이버 공격은 오작동하는 제어기와 구별할 수 없다

전력망에 연결된 배터리 에너지 저장 시스템(BESS)을 겨냥한 사이버 공격이 실제 오작동과 구별하기 어렵다는 위협 연구가 나왔습니다. 공격자가 클라우드 기반 최적화 플랫폼 하나를 장악하면, 텍사스에서는 약 1,500개(ERCOT 전체의 5.4%), 영국에서는 약 400개(전체의 29%) 배터리 유닛을 원격 제어해 대규모 정전을 일으킬 수 있습니다. 배터리가 순간적으로 충전에서 방전으로 전환하는 동작은 정상 주파수 응답과 동일하게 보이기 때문에 관제실에서는 공격 여부를 실시간으로 판단하기가 사실상 불가능합니다. 2025년 4월 스페인 대정전 사례처럼, 사고와 공격이 동일한 흔적을 남기고 핵심 데이터가 민간 기업들에 분산돼 있어 사후 귀인(누가 공격했는지 규명)도 매우 어렵습니다. IEC 62443(산업제어시스템 보안 표준) 인증 의무화와 분기별 모의훈련 도입이 2031년까지의 대규모 공격 발생 확률을 92.1%에서 61.4%로 낮출 수 있다고 분석됩니다.

#OT #모의훈련 #사이버 공격

Help Net Security·2026. 09. 02.

국제 싱크홀 작전, 23년 역사의 Sality 봇넷 종식

23년간 운영된 Sality 봇넷(악성코드에 감염된 컴퓨터들로 구성된 네트워크)이 국제 법집행기관과 CrowdStrike, Shadowserver Foundation의 공동 작전으로 완전히 차단됐습니다. Sality는 2003년 처음 등장해 전 세계 1만 5,000대 이상의 기기를 감염시켰으며, 최근 8년간은 클립보드 가로채기 수법으로 암호화폐 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 주로 배포해 운영자가 최소 15만 달러를 가로챈 것으로 추정됩니다. 이번 작전은 봇넷의 P2P(컴퓨터끼리 직접 연결되는 분산형) 구조의 핵심인 '슈퍼 피어 목록'을 연구진이 장악해 정상 서버를 싱크홀(방어자가 통제하는 서버)로 교체하는 방식으로 진행됐습니다. 미국·불가리아·헝가리·루마니아 수사기관은 Sality의 악성코드 배포에 사용된 도메인도 압수했습니다. Shadowserver Foundation은 현재 감염 기기 소유자에게 피해 사실을 알리는 통보 작업을 진행 중입니다.

#DDoS #거래소 #결제

기업

Sality 봇넷 인프라, 글로벌 합동 작전으로 해체

국제 법 집행 기관과 민간 보안 기업들이 20년 넘게 활동해 온 Sality 봇넷(악성코드에 감염된 컴퓨터들이 서로 연결된 네트워크)의 인프라를 합동 작전으로 해체했습니다. 이번 작전에는 미국 법무부(DOJ), FBI, 유럽의 Europol·Eurojust, 불가리아·헝가리·루마니아 당국, 그리고 민간 보안기업 CrowdStrike가 참여했습니다. Sality는 최소 2003년부터 활동해 왔으며, 최근 8년간 주로 암호화폐 지갑 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 유포하는 데 사용됐습니다. CrowdStrike는 봇넷의 통신 핵심 노드를 싱크홀링(sinkholing, 악성 트래픽을 무력화하는 기술) 처리해 감염 기기를 고립시켰습니다. 이번 작전으로 Sality 봇넷은 운영자의 통제권을 완전히 잃었습니다.

#DDoS #봇넷 #악성코드

중요제조

연구진, Claude를 활용해 PLC 모델 간 사전인증 RCE 익스플로잇 이식 성공

보안 연구팀 Forescout Vedere Labs가 AI 모델 Claude를 활용해, WAGO사의 산업용 제어장치(PLC)에 존재하는 치명적인 보안 취약점(CVE-2021-31886)의 공격 코드를 한 모델에서 다른 모델로 성공적으로 이식했습니다. 이 취약점은 인증 없이도 원격에서 시스템을 마음대로 조작할 수 있는 RCE(원격 코드 실행) 공격을 가능하게 하며, CVSS 위험도 점수가 9.8(최고 수준)에 달합니다. 현재 영향을 받는 WAGO 제어장치에 대한 패치는 존재하지 않으며, 운영자는 FTP 포트(21번)를 차단하고 네트워크를 분리하는 조치를 취해야 합니다. 이 연구는 AI가 공격자의 기술 장벽을 크게 낮출 수 있음을 실증적으로 보여주었으며, NSA·CISA·FBI 등 미국 주요 기관도 AI 기반 산업제어시스템 공격 위협에 대한 공동 경보를 발령한 상황입니다.

#AI #CVSS #GitHub

공격자들, Switchvox 치명적 취약점 악용해 인증 없이 역방향 셸 배포

기업용 VoIP(인터넷 전화) 플랫폼인 Sangoma Switchvox에서 로그인 없이도 원격으로 시스템을 완전히 장악할 수 있는 치명적인 보안 취약점(CVE-2026-9586)이 발견됐고, 현재 실제 공격에 악용되고 있습니다. 공격자는 특별히 조작된 요청 한 번만으로 데이터베이스를 마음대로 조작하거나, 피해 서버에 '역방향 셸(reverse shell, 공격자가 원격으로 서버를 조종하는 통로)'을 심을 수 있습니다. 인터넷에 노출된 Switchvox 장비가 약 4,000대에 달하며, 이미 대규모 자동 공격 시도가 관측됐습니다. Sangoma는 2026년 7월 14일에 Switchvox 8.4.0.2 버전으로 패치를 배포했으므로, 해당 제품을 사용하는 기업은 즉시 업데이트해야 합니다.

#AI #CVSS #RCE

당국, Sality P2P 네트워크를 역이용해 신규 악성 페이로드 배포 차단

미국 법무부와 유럽 국가들, CrowdStrike 등 민간 기업이 협력해 2003년부터 활동해 온 악성코드 봇넷(악성 소프트웨어에 감염된 컴퓨터들의 집합) 'Sality'를 성공적으로 차단했습니다. Sality는 P2P(피어투피어) 방식으로 운영돼 기존 서버 차단 방식이 통하지 않던 악성코드로, 전 세계 1만 5,000대 이상의 컴퓨터를 감염시켜 암호화폐 탈취, 스팸 발송, DDoS(분산 서비스 거부) 공격 등에 악용됐습니다. 당국은 Sality의 P2P 네트워크 구조 자체를 역이용해 감염된 컴퓨터들이 공격자의 명령을 받지 못하도록 격리하는 방식으로 봇넷을 무력화했습니다. 현재 모든 감염 기기는 CrowdStrike가 운영하는 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버)로 연결되도록 설정됐습니다. 단, 이미 감염된 기기에 남아 있는 악성코드는 여전히 수동으로 제거해야 합니다.

#DDoS #OT #PLC

SonicWall, 실제 악용 중인 SMA1000 제로데이 취약점 경고

SonicWall의 원격 접속 장비인 SMA1000에서 두 개의 제로데이(아직 패치가 없는 상태에서 발견된) 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되었으며, 공격자들이 이를 묶어서 원격 코드 실행(RCE, 피해 장비를 외부에서 마음대로 조종할 수 있는 공격)에 악용하고 있습니다. 이 장비는 대기업·정부·핵심 인프라 기관에서 원격 근무용 VPN으로 널리 쓰이고 있어 피해 파급력이 큽니다. 현재 인터넷에 노출된 SMA1000 장비가 400대 이상으로 파악되며, SonicWall은 즉시 최신 핫픽스 버전으로 업그레이드할 것을 강력히 권고했습니다. 올해 7월에도 같은 장비의 다른 취약점(CVE-2026-15409, CVE-2026-15410)이 제로데이 공격과 랜섬웨어에 악용된 전례가 있어 신속한 대응이 필요합니다.

#RCE #SSL #국가 배후

해커들, Faronics Deploy 관리 도구를 악용해 ScreenConnect 설치

공격자들이 정상적인 IT 관리 도구인 Faronics Deploy를 악용해 피해자 컴퓨터를 몰래 장악하는 피싱 캠페인이 확인되었습니다. 공격자는 청구서나 세금 문서로 위장한 이메일을 보내 피해자가 'Adobe.exe'라는 이름의 Faronics 설치 파일을 실행하도록 유도합니다. 피해자가 파일을 실행하면 컴퓨터가 공격자가 통제하는 Faronics 배포 환경에 등록되고, 이후 PowerShell 스크립트를 통해 추가 원격 접속 도구인 ConnectWise ScreenConnect까지 자동 설치됩니다. 2025년 7월 21일부터 8월 20일 사이에 457개 이상의 엔드포인트(단말 기기)가 피해를 입었으며, Faronics 측의 조치 이후 공격이 크게 줄었습니다. 관리자는 Faronics 로그 파일과 비정상적인 ScreenConnect 설치 여부를 즉시 점검해야 합니다.

#GitHub #백업 #보안 솔루션

중요의료