보안 뉴스

Sality 봇넷 인프라, 글로벌 합동 작전으로 해체

국제 법 집행 기관과 민간 보안 기업들이 20년 넘게 활동해 온 Sality 봇넷(악성코드에 감염된 컴퓨터들이 서로 연결된 네트워크)의 인프라를 합동 작전으로 해체했습니다. 이번 작전에는 미국 법무부(DOJ), FBI, 유럽의 Europol·Eurojust, 불가리아·헝가리·루마니아 당국, 그리고 민간 보안기업 CrowdStrike가 참여했습니다. Sality는 최소 2003년부터 활동해 왔으며, 최근 8년간 주로 암호화폐 지갑 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 유포하는 데 사용됐습니다. CrowdStrike는 봇넷의 통신 핵심 노드를 싱크홀링(sinkholing, 악성 트래픽을 무력화하는 기술) 처리해 감염 기기를 고립시켰습니다. 이번 작전으로 Sality 봇넷은 운영자의 통제권을 완전히 잃었습니다.

#DDoS #봇넷 #악성코드

중요제조

연구진, Claude를 활용해 PLC 모델 간 사전인증 RCE 익스플로잇 이식 성공

보안 연구팀 Forescout Vedere Labs가 AI 모델 Claude를 활용해, WAGO사의 산업용 제어장치(PLC)에 존재하는 치명적인 보안 취약점(CVE-2021-31886)의 공격 코드를 한 모델에서 다른 모델로 성공적으로 이식했습니다. 이 취약점은 인증 없이도 원격에서 시스템을 마음대로 조작할 수 있는 RCE(원격 코드 실행) 공격을 가능하게 하며, CVSS 위험도 점수가 9.8(최고 수준)에 달합니다. 현재 영향을 받는 WAGO 제어장치에 대한 패치는 존재하지 않으며, 운영자는 FTP 포트(21번)를 차단하고 네트워크를 분리하는 조치를 취해야 합니다. 이 연구는 AI가 공격자의 기술 장벽을 크게 낮출 수 있음을 실증적으로 보여주었으며, NSA·CISA·FBI 등 미국 주요 기관도 AI 기반 산업제어시스템 공격 위협에 대한 공동 경보를 발령한 상황입니다.

#AI #CVSS #GitHub

공격자들, Switchvox 치명적 취약점 악용해 인증 없이 역방향 셸 배포

기업용 VoIP(인터넷 전화) 플랫폼인 Sangoma Switchvox에서 로그인 없이도 원격으로 시스템을 완전히 장악할 수 있는 치명적인 보안 취약점(CVE-2026-9586)이 발견됐고, 현재 실제 공격에 악용되고 있습니다. 공격자는 특별히 조작된 요청 한 번만으로 데이터베이스를 마음대로 조작하거나, 피해 서버에 '역방향 셸(reverse shell, 공격자가 원격으로 서버를 조종하는 통로)'을 심을 수 있습니다. 인터넷에 노출된 Switchvox 장비가 약 4,000대에 달하며, 이미 대규모 자동 공격 시도가 관측됐습니다. Sangoma는 2026년 7월 14일에 Switchvox 8.4.0.2 버전으로 패치를 배포했으므로, 해당 제품을 사용하는 기업은 즉시 업데이트해야 합니다.

#AI #CVSS #RCE

당국, Sality P2P 네트워크를 역이용해 신규 악성 페이로드 배포 차단

미국 법무부와 유럽 국가들, CrowdStrike 등 민간 기업이 협력해 2003년부터 활동해 온 악성코드 봇넷(악성 소프트웨어에 감염된 컴퓨터들의 집합) 'Sality'를 성공적으로 차단했습니다. Sality는 P2P(피어투피어) 방식으로 운영돼 기존 서버 차단 방식이 통하지 않던 악성코드로, 전 세계 1만 5,000대 이상의 컴퓨터를 감염시켜 암호화폐 탈취, 스팸 발송, DDoS(분산 서비스 거부) 공격 등에 악용됐습니다. 당국은 Sality의 P2P 네트워크 구조 자체를 역이용해 감염된 컴퓨터들이 공격자의 명령을 받지 못하도록 격리하는 방식으로 봇넷을 무력화했습니다. 현재 모든 감염 기기는 CrowdStrike가 운영하는 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버)로 연결되도록 설정됐습니다. 단, 이미 감염된 기기에 남아 있는 악성코드는 여전히 수동으로 제거해야 합니다.

#DDoS #OT #PLC

SonicWall, 실제 악용 중인 SMA1000 제로데이 취약점 경고

SonicWall의 원격 접속 장비인 SMA1000에서 두 개의 제로데이(아직 패치가 없는 상태에서 발견된) 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되었으며, 공격자들이 이를 묶어서 원격 코드 실행(RCE, 피해 장비를 외부에서 마음대로 조종할 수 있는 공격)에 악용하고 있습니다. 이 장비는 대기업·정부·핵심 인프라 기관에서 원격 근무용 VPN으로 널리 쓰이고 있어 피해 파급력이 큽니다. 현재 인터넷에 노출된 SMA1000 장비가 400대 이상으로 파악되며, SonicWall은 즉시 최신 핫픽스 버전으로 업그레이드할 것을 강력히 권고했습니다. 올해 7월에도 같은 장비의 다른 취약점(CVE-2026-15409, CVE-2026-15410)이 제로데이 공격과 랜섬웨어에 악용된 전례가 있어 신속한 대응이 필요합니다.

#RCE #SSL #국가 배후

공공

전자신문 보안·2026. 09. 02.

'보안 특화 AI' 오늘 최종 PT…이르면 3일 사업자 결정

우리나라 정부가 국가 사이버 안보를 위한 '보안 특화 AI' 개발 사업자를 선정하는 최종 발표평가가 진행됐습니다. 네이버클라우드(LG CNS 컨소시엄)와 SK텔레콤(업스테이지 컨소시엄), 두 팀이 경쟁하며 이르면 2026년 9월 3일 최종 결과가 발표될 예정입니다. 선정된 컨소시엄은 엔비디아 B200 GPU 256장을 10개월간 지원받아 고성능 보안 특화 AI 모델을 개발하게 됩니다. 이 사업은 사이버 위협 대응에 특화된 국산 AI 모델을 확보한다는 점에서 국가 사이버보안 역량 강화와 직결됩니다.

#AI #공공기관 #사이버 위협

해커들, Faronics Deploy 관리 도구를 악용해 ScreenConnect 설치

공격자들이 정상적인 IT 관리 도구인 Faronics Deploy를 악용해 피해자 컴퓨터를 몰래 장악하는 피싱 캠페인이 확인되었습니다. 공격자는 청구서나 세금 문서로 위장한 이메일을 보내 피해자가 'Adobe.exe'라는 이름의 Faronics 설치 파일을 실행하도록 유도합니다. 피해자가 파일을 실행하면 컴퓨터가 공격자가 통제하는 Faronics 배포 환경에 등록되고, 이후 PowerShell 스크립트를 통해 추가 원격 접속 도구인 ConnectWise ScreenConnect까지 자동 설치됩니다. 2025년 7월 21일부터 8월 20일 사이에 457개 이상의 엔드포인트(단말 기기)가 피해를 입었으며, Faronics 측의 조치 이후 공격이 크게 줄었습니다. 관리자는 Faronics 로그 파일과 비정상적인 ScreenConnect 설치 여부를 즉시 점검해야 합니다.

#GitHub #백업 #보안 솔루션

중요의료

Aesto Health, 데이터 침해로 950만 명 이상 환자 정보 유출 확인

미국 의료 데이터 관리 기업 Aesto Health가 약 950만 명의 환자 정보가 유출된 대규모 침해 사고를 공개했습니다. 공격은 2025년 12월에 발생했으나, 외부 전문가의 포렌식 조사를 통해 2026년 5월에야 내부적으로 확인됐습니다. 유출된 정보에는 이름, 생년월일, 의료 기록, 사회보장번호(SSN), 운전면허 번호, 금융 계좌 정보 등 매우 민감한 개인정보가 포함돼 있습니다. 침해는 AWS(아마존 웹 서비스) 인프라 일부에 대한 무단 접근으로 발생했으며, VillageMD·Everside Health 등 29개 의료기관의 환자들이 간접적으로 피해를 입었습니다. 피해자에게는 Experian을 통한 24개월 신원 도용 보호 및 신용 모니터링 서비스 등록 안내가 제공되고 있습니다.

#AWS #SaaS #개인정보

Langflow 치명적 취약점 악용으로 OpenAI·AWS 키 탈취

AI 애플리케이션 개발 오픈소스 플랫폼인 Langflow에서 인증 없이 루트 권한으로 임의 코드를 실행할 수 있는 심각한 취약점(CVE-2026-0768)이 실제 공격에 악용되고 있습니다. 공격자들은 이 취약점을 이용해 AWS 접근 키, OpenAI API 키, 관리자 인증 정보 등 민감한 자격증명을 환경변수에서 직접 탈취하고 있으며, 주로 러시아발 공격 시도가 360건 이상 관측되었습니다. 올해 들어 Langflow에서는 이 취약점 외에도 다수의 치명적 취약점이 연이어 실제 공격에 악용되었고, 이 중 3건(CVE-2026-55255·CVE-2026-9198·CVE-2026-0770)은 CISA의 실제 악용 확인 목록(KEV)에 등재되어 있습니다. Langflow를 운영 중인 조직은 즉시 최신 버전인 1.11.6으로 업그레이드해야 합니다.

#AI #API 키 #AWS

공개 수일 만에 공격자들이 JFrog Artifactory 심각 취약점 악용해 관리자 토큰 발급

JFrog Artifactory(소프트웨어 개발팀이 빌드 결과물을 저장·배포하는 데 널리 쓰이는 플랫폼)에서 인증을 완전히 우회해 관리자 권한을 탈취할 수 있는 심각한 취약점(CVE-2026-82329)이 공개됐습니다. CVSS 점수 9.8로 최고 수준의 위험도를 기록하며, 공개된 지 불과 며칠 만에 실제 공격자들이 악용을 시작한 것이 확인됐습니다. 공격자가 관리자 권한을 얻으면 빌드 파이프라인을 조작하거나 악성 코드를 배포물에 심어 다운스트림 고객까지 피해를 줄 수 있어 공급망 공격으로 이어질 수 있습니다. JFrog은 2026년 8월 28일 Artifactory 7.161.20 버전으로 패치를 배포했으므로, 자체 운영 중인 인스턴스는 즉시 업데이트해야 합니다. 감사 로그 점검, 자격증명 교체, 연결된 시스템의 악성 변경 여부 확인도 함께 권고됩니다.

#CVSS #RCE #공급망

중요금융