1. 라자루스 그룹, Windows 제로데이 악용해 SYSTEM 권한 탈취 및 신종 백도어 배포
북한 연계 해킹 그룹 라자루스(Lazarus)가 Microsoft가 8월 패치 화요일에 막 패치한 Windows 커널 드라이버 제로데이를 악용해 프랑스·독일·브라질·인도 소재 방산·항공 기업들을 대상으로 신종 백도어를 배포한 것으로 확인됐다. Check Point Research는 이를 장기간 지속된 사회공학 캠페인 'Operation Dream Job'의 일환으로 분석했다.
- 취약점: CVE-2026-68820 (CVSS 7.0) — WinSock용 Windows 보조 함수 드라이버(AFD.sys)의 권한 상승 결함으로, 이미 코드 실행 권한을 가진 공격자가 SYSTEM 권한으로 상승 가능
- 공격 체인: 가짜 채용 제안 → 트로이 목마화된 PDF 뷰어/암호화 압축 파일 → DLL 사이드로딩(libmupdf.dll) → MISTPEN 다운로더가 Microsoft Graph API·OneDrive로 C2 통신 → AFD.sys 익스플로잇 → 원격 접근 백도어 'Troy' 및 ForestTiger 배포
- 특징: LinkedIn에서 채용 담당자로 위장한 접근, Lockheed Martin·Enveil 등 명시, 2022년부터 이어진 검증된 수법
출처: The Hacker News - Lazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor
2. 크롬 VPN 확장 프로그램 737개, 트래픽을 프록시로 우회 전송 — 사용자 확인 필요
Socket 연구진이 무료 VPN·프록시 확장 프로그램 737개가 사용자 브라우저 트래픽을 가로채 단일 공격자 운영 SOCKS5 프록시 인프라로 라우팅하는 것을 발견했다. 주로 차단된 서비스 접근을 원하는 러시아어 사용자들이 표적이 됐으며, 274개가 Proton VPN, NordVPN, Surfshark 등 66개 유명 VPN 브랜드를 사칭한 것으로 나타났다.
- 규모: 40개 이상의 Chrome 웹 스토어 개발자 계정, 총 75,486회 설치 — 221개는 이미 스토어에서 삭제됐지만 516개는 여전히 활성 상태
- 기술: chrome.proxy.settings를 통해 전체 브라우저 세션을 포트 1082의 고정 SOCKS5 서버로 라우팅 → 공격자가 중간자(AitM) 위치에서 접속 사이트·출발지 IP·TLS SNI·평문 HTTP 요청 본문 관찰 가능
- 우회 목록: 루프백 주소(127.0.0.1)만 제외해 모든 브라우저 요청이 프록시를 경유, 러시아 기반 구독형 VPN 사업 운영 흔적 확인
출처: The Hacker News - 737 Chrome VPN Extensions Caught Routing Traffic Through Proxies
3. OpenAI·Anthropic·Google API 결함 — 약한 AI 모델로 강한 모델의 추론 내용 복호화 가능
OpenAI, Anthropic, Google이 API 호출 간 숨겨진 AI 추론을 전달하는 방식에서 결함이 발견돼, 연구자들이 세션 로그에서 내부 추론과 비밀(API 키·비밀번호 포함)을 복구할 수 있었다. 'Stealing Reasoning Traces from Proprietary LLM APIs' 논문에서 공개된 이 문제는 암호화된 추론 객체를 다른 세션에 재생(replay)할 수 있었던 것이 원인이다.
- 남용 경로 4가지: ① 모델 증류용 독점 추론 탈취 ② 다른 사용자가 공개한 트레이스의 개인 데이터 추출 ③ 안전한 표면 답변 뒤에 숨긴 유해 콘텐츠 복구 ④ 불투명 추론 블록 내 프롬프트 인젝션 은닉
- 실측 규모: 공개 에이전트 트레이스 6,708개에서 thinking 블록 315,320개 디코드, 실제 사용자 세션에서 API 키 62개·비밀번호 33개·액세스 토큰 24개·개인 키 7개 등 704건의 개인정보 아티팩트 확인
- 제약·현황: 암호화 추론 블록 확보 + 동일 제공자의 호환 모델 API 접근 필요. 제공업체·Microsoft·Hugging Face에 책임 공개 후 완화 조치로 2026년 8월 기준 재현 불가, 실제 악용 사례는 미확인
4. Adobe, CVSS 10.0 취약점 3건 포함 ColdFusion·Campaign Classic 긴급 패치
Adobe가 ColdFusion, Commerce, Campaign Classic의 다수 치명적 취약점에 대한 업데이트를 배포했다. 성공적으로 악용될 경우 임의 코드 실행과 권한 상승으로 이어질 수 있으며, ColdFusion과 Campaign Classic 패치는 공격 표적이 될 위험이 높은 Priority 1 등급으로 분류됐다.
- CVE-2026-48362 (CVSS 10.0): ColdFusion OS 명령 주입 → 임의 코드 실행 (2025.0.12, 2023.0.23에서 수정)
- CVE-2026-71398 / CVE-2026-27302 (CVSS 10.0): Campaign Classic 잘못된 인가 → 임의 코드 실행 (ACC v7 7.4.4 build 9400에서 수정)
- 추가: CVE-2026-48273 (9.9 eval 주입), CVE-2026-71384 (9.6 DoS), CVE-2026-71362 (9.1 Commerce 권한 상승), CVE-2026-48381 (9.0 SQL 인젝션) — Campaign Classic 업데이트는 온프레미스 및 하이브리드 온프레미스 구성에만 적용
출처: The Hacker News - Adobe Patches Three CVSS 10.0 ColdFusion and Campaign Classic Flaws
5. VMware vCenter 취약점 실전 악용 — 47개국 361개 호스트에 지속적 원격 접근 구축
독일 보안 기업 QUIRSO가 최근 패치된 Broadcom VMware vCenter의 치명적 취약점(CVE-2026-59310)에 대한 활발한 실전 악용을 발견했다. 공격자는 디렉토리 트래버설을 악용해 임의 코드를 실행하고, 악성 cron 작업과 reverse_ssh 도구로 지속성을 확보해 공격자 인프라에 SSH 연결을 유지하고 있다.
- 취약점: CVE-2026-59310 (CVSS 9.8) — 네트워크 접근만으로 임의 코드 실행이 가능한 디렉토리 트래버설, 7월 말 Broadcom이 패치 배포
- 시기: 공개 5일 만인 8월 3일 첫 공격 접촉 관측 — 공개 시점과 악용의 강한 상관관계, 의심되는 APT 행위자 주도
- 피해 규모: 47개국 361개 고유 피해 IP (독일·미국·터키·이란·프랑스 순) — vCenter는 중국 연계 UNC5174 등 과거에도 활발한 표적이었던 어플라이언스
출처: The Hacker News - Attackers Exploit VMware vCenter Vulnerability to Gain Persistent Remote Access