1. 중국 연계 해커, 신종 랜섬웨어 StormEncryptor 배포 — N-central 취약점 경유 추정
마이크로소프트가 중국 연계 금전 목적 위협 행위자 Storm-1175가 기존에 알려지지 않았던 랜섬웨어 변종 'StormEncryptor'를 배포했다고 공개했다. 이 그룹이 그동안 사용해온 Medusa 랜섬웨어에서의 전환을 의미하며, 초기 침투 경로로 N-able N-central의 신규 취약점 악용이 유력한 것으로 평가된다.
- 신종 랜섬웨어: C++로 작성, 암호화 파일에 .encrypted 확장자 추가, 모든 스캔 디렉터리에 !!!README_FIRST!!!.txt 랜섬노트 드롭
- 취약점: CVE-2026-18577 (CVE-2026-18556의 패치 우회) — 인증 우회·계정 탈취, CISA가 활성 악용으로 플래그
- 그룹 이력: Mirth Connect, ConnectWise ScreenConnect, JetBrains TeamCity, Fortinet FortiClient EMS, Fortra GoAnywhere 취약점 악용 후 Medusa 배포
- 사후 행동: AnyDesk·SimpleHelp 등 RMM 도구 남용, Advanced IP Scanner로 탐색, Mimikatz로 LSASS 덤프
- 속도: 초기 접근 → 데이터 탈취 → 랜섬웨어 배포까지 수일 내 완료 — 패치 적용이 시급
2. 김수키(Kimsuky), 자체 서버에 오프라인 AI 스택 구축 — 피싱 고도화·악성코드 자동화 노려
북한 정찰총국 산하 사이버 스파이 조직 김수키가 공개 챗봇 대신 자체 서버에서 AI를 오프라인으로 구동하며, 보유 문서와 연결된 검색 도구를 구축하고 AI 기능을 악성코드에 통합하기 위한 구성 요소를 수집하고 있다고 국내 보안기업 지니언스(Genians)가 밝혔다.
- 오프라인 AI 도구: Ollama, GPT4All, Msty 설치·실행 확인 — GPT4All은 RAG(검색 증강 생성)용 localdocs_v3.db가 구성된 상태로 발견
- 개발 라이브러리: LLaMaSharp, Microsoft Semantic Kernel, Microsoft.Agents.AI — C#/.NET 기반 AI 기능 내장 시도
- 단계: 자체 모델 학습 증거는 없으나 '연구·지식 습득' 단계 — 기존 도구 조립·시험 중
- 목표: AI가 작성한 피싱 문구(번역·맞춤법 오류 감소), 악성코드 작성, 탈취 데이터 분석 자동화
- 대응: 루어 완성도 대신 LNK 실행, PowerShell, 숨겨진 예약 작업, GitHub 트래픽, 페이로드 활동 상관분석 강조
출처: The Hacker News - Kimsuky Builds Offline AI Stack to Boost Phishing and Automate Malware Development
3. 패스키 공격 연구 3건 — 동기화된 개인 키 복구·피싱 방지 MFA 우회 가능
지난주 발표된 세 건의 독립 연구가 패스키 보호를 우회할 수 있는 방법을 시연했다. 암호화 수학 자체를 깨지 않고도 공격이 성립한다는 점이 핵심으로, 패스키 도입 조직의 위협 모델 재검토가 필요하다는 지적이 나온다.
- SpecterOps: Windows·Microsoft Entra ID 체인으로 피싱 방지 MFA를 충족하면서 권한 있는 사용자 사칭 — 서명된 인증 자료 재사용 방식
- Unit 42: Chrome의 Google Password Manager 공격 — 피해자 동기화된 패스키의 개인 키 복구 경로 확인
- Dirk-jan Mollema: 로그인된 Windows 세션의 악성코드가 하드웨어 바인딩 Windows Hello for Business 키를 재인증 없이 사용
- 관련 CVE: CVE-2026-34348 (Windows 이벤트 로깅 서비스, CVSS 6.5) — 마이크로소프트 보안 업데이트 및 패스키 릴레이 방어 완화 조치 적용
- 시사점: 동기화형·기기 바인딩형 패스키 모두 공격 표면 존재 — Zero Trust와 엔드포인트 보호 병행 필요
4. TrueConf 서버 취약점 체인 악용, 클라이언트 설치파일을 PhantomCore로 교체
위협 행위자 Head Mare가 패치되지 않은 TrueConf 화상회의 서버의 취약점 체인을 다시 무기화해 러시아 계측·전자·운송·에너지·IT 기업을 공격하고 있다. 공격자는 원본 TrueConf 클라이언트 설치 프로그램을 악성 버전으로 교체해 PhantomCore 백도어·RAT를 유포했다고 카스퍼스키가 밝혔다.
- 취약점: KLCERT-26-057·KLCERT-26-058 — 권한 상승을 동반한 임의 코드 실행, TrueConf 서버 5.3.x~5.3.9, 5.4.x~5.4.9, 5.5.x~5.5.5 및 이전 버전 영향
- 공격 체인: 기본 개방 포트 TCP 4307 접속 → KLCERT-26-057로 격리 환경 내 스크립트 실행 → KLCERT-26-058로 격리 탈출 → NT AUTHORITY\SYSTEM 권한 획득
- 지속성: public\js\locale.php를 웹셸로 교체 → TrueConf 데이터베이스 접근 → 클라이언트 배포본에 PhantomCore 주입
- 이중 백도어: PhantomGraph (SysExcSvc.dll = C2·OneDrive 경유 탈취, SysReadSvc.dll = 명령 파싱·실행) — EDR 탐지 회피 위해 2개 모듈로 분리
- 추가 행동: SSH 리버스 터널, lsass.exe 메모리 덤프, 시스템 정보 수집
출처: The Hacker News - TrueConf Server Flaws Exploited to Replace Client Installers with PhantomCore
5. 악성 VS Code 확장 'Solidity Pro' — 암호화폐 지갑·API 키·자격증명 탈취
VS Code 확장 'Solidity Pro' (helper-beeps.solidity-pro, web3devtoolsx.solidity-pro)가 브라우저 지갑과 자격증명 탈취 악성코드를 유포한 것으로 확인됐다. 초기 버전은 Cloudflare Workers 엔드포인트로 비콘해 암호화된 Python 페이로드를 실행했고, v3.0.0부터는 본격적인 인포스틸러로 전환됐다.
- 탈취 대상: 브라우저 프로필, MetaMask·Phantom·Rabby·Coinbase·Trust·Keplr 지갑, BIP-39 시드 문구, GitHub·GitLab 토큰, AWS 키, Cloudflare·OpenAI 키, SSH 개인 키, 1Password MFA 토큰
- 유출 경로: 텔레그램 봇 업로드
- 은닉 기법: 마켓플레이스 리뷰 우회, 정적 분석 회피용 난독화(IIFE 테이블 문자열 분할), 신뢰 쌓기용 클린 중간 버전, 설치 수 시간~수일 후 활성화되는 지연 기동
- 연관성: 2025년 9월 Lumma Stealer를 유포한 WhiteCobra 클러스터와 동일한 플레이북 — 2026년 6월에도 ethdevtools.solidity-language-support가 클립보드 스틸러로 적발
- 시사점: 암호화폐 개발자 생태계를 노린 확장 마켓플레이스 공급망 공격 지속 — 마켓 검증·게시자 평판 확인 필수
출처: The Hacker News - Solidity Pro VS Code Extensions Steal Crypto Wallets, API Keys, and Credentials