1. 리서처 'Nightmare Eclipse', CrowdStrike·Nvidia·Avast 제로데이 3종 PoC 공개 — SYSTEM 권한 상승
제로데이 익스플로잇 연구로 유명한 'Nightmare Eclipse'(일명 Chaotic Eclipse, Infinite Nightmare, MSNightmare)가 지난주 짧은 기간 동안 Avast·CrowdStrike·Nvidia 제품을 대상으로 한 신규 제로데이 익스플로잇 3종을 연달아 공개했다. PoC는 모두 권한 상승으로 이어지며 System 권한의 셸을 생성하는 것으로 알려졌다.
- PrettyPrague: Avast 대상 권한 상승 제로데이 PoC
- FalconFlank: CrowdStrike Falcon Sensor의 Office 악성 매크로 교정(remediation) 기능 결함 악용 — CrowdStrike는 "조사 중이며, Microsoft Office File Suspicious Macro Removal Windows 정책 비활성화 권고"라고 답변
- GreenSection: Nvidia 제품의 out-of-bounds 결함 대상 — Nvidia는 SecurityWeek 문의에 대한 입장을 업데이트로 추가
- 배경: 연구자는 8월 말에도 Kaspersky 엔드포인트 제품 권한 상승 제로데이 'HardBreacher'를 공개했고, 이는 8월 31일 패치됨
출처: SecurityWeek - Nightmare Eclipse Drops CrowdStrike, Nvidia, Avast Zero-Day Exploits
2. N-able, N-central 무인증 RCE 결함 5주 만에 4번째 핫픽스 발표 — 야생 악용 여부 두고 발표 간 엇갈림
RMM(원격 모니터링·관리) 플랫폼 N-central의 무인증 원격 코드 실행 취약점(CVE-2026-86218)을 두고 N-able이 5주 만에 4번째 핫픽스(2026.3.1.14)를 출시했다. 2026.3.1.14 미만의 모든 온프레미스 빌드 — 하루 전 Hotfix 3를 적용한 서버까지 — 가 영향권에 있다.
- 모순된 발표: N-able 릴리스 노트는 "제3자 책임 공개, 프로덕션 악용 확인 없음"이라고 밝히는 반면, 인시던트 공지(status page)는 "새 결함이 야생에서 악용되는 것이 관찰됐다"고 주장 — 관찰 주체·시점은 공개 안 됨
- Huntress 관측: 9월 4일, 완전히 패치된 고객 N-central 프로덕션 환경 침해를 조사하기 시작 — 로그 순환으로 "이번 CVE가 악용됐는지 단정 불가"
- 조치 권고: Huntress는 콘솔 인바운드 접근을 IP 허용목록/VPN으로 제한하고, 인터넷 노출 서버는 핫픽스 적용 전 오프라인 전환 권고
- 이력: Hotfix 1(2026.3.1.7, 8월 2일)부터 시작해 8월 이후 총 3건의 별개 취약점 세트를 수정
출처: The Hacker News - N-able Issues Fourth N-central Hotfix in Five Weeks for Unauthenticated RCE Flaw
3. 변조된 ScreenConnect 클라이언트, 신규 연결 호스트에 4단계 VBScript 체인 전파 — 웜형 공격
Huntress는 ConnectWise ScreenConnect를 악용해 새로 연결되는 시스템에 악성 VBScript 페이로드를 배포하는 웜과 유사한 활동을 공개했다. 2026년 8월 관측된 3건의 무관한 사고 모두 서로 다른 초기 접근 방식으로 4단계 VBScript 체인을 구동해 변조된(rogue) ScreenConnect 설치로 이어졌다.
- 초기 접근 3종: Quick Assist 기술지원 사기, 피싱으로 유포된 MSI 설치 프로그램, 가짜 Geek Squad 환불 양식 미끼
- 전파 단계: 1.vbs가 호스트 프로파일링(보안 제품·RAM·기존 ScreenConnect 확인) 후 3비트 상태 변수 기록 → 2·3.vbs가 상태값에 따라 Dropbox에서 단계별 페이로드 다운로드 → 4.vbs가 PowerShell로 암호화 페이로드 복호화·실행
- 페이로드: 상태값에 따라 사용자 수준 ScreenConnect 백도어, UAC 우회 통한 권한 상승 툴, 터널링 유틸리티·암호화폐 채굴기 등 최소 3종 확인
- C2: tele-sync.opik[.]net(45.13.237[.]190), 131.123.40[.]98:8041, borertors92.anondns[.]net 등 사용
4. 'PEEP' — Chrome·Edge를 사후 침투 백도어로 바꾸는 Chromium 툴킷, Web Store 검사 우회
SOCRadar가 북마크 확장 프로그램으로 위장한 정교한 Chromium 기반 사후 침투(post-exploitation) 툴킷 'PEEP'을 공개했다. 관리자 권한이나 코드 실행 권한이 선행돼야 하지만, 설치 시 Chromium의 Secure Preferences 무결성 값을 위조해 Web Store 검사와 사용자 프롬프트를 우회하고 확장 프로그램을 Chrome/Edge 프로필에 직접 주입한다.
- 동작: 'Smart Bookmarks'(ID: ejkndncpkdcjcikfhiamcdehdoegilbj) 확장이 30초마다 HTTP로 C2(206.237.30[.]232, xfjcc[.]fun)에 폴링하며 브라우저 데이터 탈취·명령 수신
- RAT 전환: OS 작업이 필요한 경우 네이티브 메시징 호스트(nm_host.exe)를 호출 — 셸 명령 실행, 파일 관리, 프로세스·서비스 탐색, 스크린샷·클립보드·JS 주입까지 수행
- 지속성: 사이드로딩, 기업 강제 설치 정책(ExtensionInstallForcelist), preference 무결성 조작, ScriptCache 폴백 등 다중 방식
- 기원·배후: 오픈소스 툴킷 RedExt의 파생형으로, 소스코드 내 중국어 아티팩트로 중국어 사용 위협 행위자 가능성 제기 — 아직 특정 행위자에 귀속되진 않음
5. 가짜 IT 헬프데스크 전화, 임원 겨냥 M365 데이터 탈취·협박 공격 'PREY-0058' — AitM 토큰 재생
Arctic Wolf 위협 헌터들이 IT 헬프데스크 비싱(vishing)과 중간자(AitM) 토큰 탈취, 리지덴셜 프록시 로그인을 결합해 Microsoft 365 등 SaaS 데이터를 대량 탈취·협박하는 광범위한 위협 클러스터 'PREY-0058'의 세부를 공개했다. 주로 이사·부사장 등 임원급이 표적이 되며, 엔드포인트 악성코드나 네트워크 측면 이동 없이 클라우드 데이터만 집중적으로 탈취한다.
- 공격 흐름: 가짜 IT 지원 전화로 시작해 운영자 제어 AitM 로그인 페이지로 유도 — 자격증명과 MFA 승인을 탈취해 인증된 세션 토큰 확보
- 토큰 재생: 탈취한 토큰은 NodeMaven 등 프록시 인프라와 피해자와 동일한 지역·ASN의 IP에서 재생(replay)되어 탐지 회피
- 탈취 범위: 초기 접근 후 SharePoint·Entra ID에서 검색·정찰 수행 → SharePoint, OneDrive, Exchange, Box에서 대량 수집·외부 유출 후 협박
- 대응 권고: Conditional Access 정책, 피싱 저항형 MFA, SharePoint 데이터 접근 범위 최소화, 헬프데스크 직원 비싱 교육
출처: The Hacker News - Fake IT Calls Target Executives in Microsoft 365 Data Theft and Extortion Attacks
6. 컴파일된 V8 자바스크립트 악성코드 'JSCeal', 훔친 세션 쿠키로 Google 인증 우회 — SourTrade 멀버타이징과 겹침
Check Point Research가 정교한 난독화를 적용한 컴파일형 V8 JavaScript(JSC) 악성코드 'JSCeal'의 전체 역공학 결과를 발표했다. 자격증명 수집·감시·트래픽 가로채기 기능을 갖췄으며, 페이로드는 RC4 문자열 보호·제어 흐름 평탄화 등 4가지 변환 그룹으로 보호된다.
- 유포: Facebook·Google 악성 광고로 가짜 암호화폐 거래소 사이트에 유도, 위장 TradingView 설치 프로그램 다운로드 유도 — WEEVILPROXY·MeadowLocust 클러스터와 연관
- 탈취 기능: Chromium 계열 브라우저(Chrome·Edge·Brave·Opera·Vivaldi 등)의 쿠키·비밀번호·OAuth 토큰 탈취 — 훔친 세션 쿠키로 Google 인증 우회
- 분석 우회: Check Point는 완전 정적 deobfuscation 파이프라인을 개발해 실행 흐름과 기능을 복원
- SourTrade 연관: 지난달 Confiant가 공개한 대규모 멀버타이징 'SourTrade'(Solana·Luno·TradingView 사칭)는 완성된 악성코드를 배포하지 않고 브라우저 메모리에서 직접 조립하게 하는 방식 — JSCeal 캠페인(2025년 9월 Bitdefender 보고)과 활동 겹침 관측
출처: The Hacker News - JSCeal Malware Can Bypass Google Authentication Using Stolen Session Cookies