1. F5 BIG-IP APM에 '파일리스' 리눅스 루트킷 'PoisonedRefresh' 심겨 — 웹셸이 디스크에 한 번도 닿지 않는다
SophosLabs가 9월 8일, 침해된 F5 BIG-IP Access Policy Manager(APM) 환경에서 발견된 리눅스 임플란트를 공개했다. ESET이 'PoisonedRefresh', Sophos가 'Linux/Agnt-IC'로 명명한 이 루트킷은 통상적인 웹셸과 달리 디스크에 파일을 떨구지 않고 PHP 웹셸을 Apache 프로세스 메모리 안에서만 주입한다. F5도 취약점 악용 사실을 확인하고 내부 추적 클러스터 'c05d5254'로 이 활동을 연결했다.
- 진입 경로(CVE-2025-53521): 가상 서버에 접근 정책(access policy)이 설정된 BIG-IP APM의 무인증 원격 코드 실행 결함. 원래 서비스 거부(DoS)로 분류됐다가 F5가 RCE로 정정했으며, 공개 당시 Shadowserver Foundation은 인터넷에 노출된 취약 엔드포인트 795개를 관측했다
- 1단계 지속성: 수정된 리눅스 umount 바이너리 안에 은닉돼
/usr/sbin/httpd를 감염시키고 SELinux 설정을 변조하며, BIG-IP 업그레이드 이미지 안에도 자신을 심어 펌웨어 업데이트를 넘어 살아남는다 - 2단계 동작: 자체 로더를 내장한 리눅스 ELF 바이너리로,
__libc_start_main을 가로채 Apache가 정상 기동하기 전에 먼저 실행된다(로깅·일부 보안도구가 프로세스를 감시하기 전 시점 확보). 이후 Apache Portable Runtime의 모듈 로더apr_dso_load를 후킹해 PHP 모듈(libphp) 적재를 기다린다 - 웹셸 주입 방식:
/proc/self/maps로 libphp의 메모리 위치를 찾아 권한을 임시 변경하고open·close·mmap호출을 리다이렉트한다. APM webtop 정상 스크립트apm_css.php3·full_wt.php3·webtop_popup_css.php3가 열려 메모리에 매핑되는 순간 mmap 반환값을 조작해, 원본 내용 앞에 웹셸을 붙여 돌려준다 — 디스크 파일은 그대로라ls나 무결성 스캐너에는 정상으로 보인다 - 은닉 기술: 웹셸은 특수 접두사
BSOHAzPB로 시작하는 입력만 복호화해 실행하고, 응답은 HTTP 201 +text/css로 위장해 BIG-IP APM의 정상 CSS 요청처럼 보이게 한다. 별도로/run/bigtlog.pipe유닉스 소켓을 만들어 토큰 인증 후/bin/bash를 붙이므로 TCP 포트를 열지 않고도 대화형 셸을 얻는다. 내부 문자열은 RC4(키 하드코딩)로 암호화돼 정적 분석으로는 함수명 외 정보가 거의 나오지 않는다 - 대응: Sophos는 영향받은 BIG-IP APM 버전 사용자는 일반적인 Apache·PHP 하드닝 권고보다 먼저 F5의 완화·침해 평가(compromise-assessment) 가이드를 따르라고 권고했고, 웹셸 탐지는 파일 스캔만이 아니라 런타임 동작·메모리 검사로 접근해야 한다고 강조했다
출처: Security Affairs - PoisonedRefresh: A Fileless Linux Rootkit That Injects PHP Web Shells Into F5 BIG-IP APM Server Memory · BleepingComputer - Hackers breach F5 BIG-IP APM devices to deploy Linux rootkit · CSO Online - Stealth rootkit targeting F5 BIG-IP could expose enterprise identity gateways
2. Plesk 백업 관리자 결함(CVE-2026-68488) — 저권한 사용자가 심링크 경쟁으로 서버 루트 장악
Plesk Backup Manager에서 새로 공개된 결함 CVE-2026-68488을 악용하면 낮은 권한의 사용자가 권한을 상승시켜 영향받는 리눅스 서버의 완전한 루트 접근을 얻을 수 있다. 결함은 구독(subscription) 콘텐츠 복원 작업 중 발생하는 심볼릭 링크 경쟁 조건(symlink race)에서 비롯된다.
- 영향 대상: 리눅스용 Plesk Obsidian 18.0.80.6 이하 및 18.0.79.10 이하. Plesk for Windows는 영향받지 않는다
- 악용 조건: Plesk Panel에 대한 일반 접근 권한과 자신이 호스팅하는 구독에 대한 FTP 접근 권한만 있으면 된다. 복원 과정에서 관리자 권한으로 실행되는 경로를 심링크로 바꿔치기해, 공격자 구독 밖의 파일·디렉터리 소유권을 탈취할 수 있다. 신원 인증 없이 악용 가능한 RCE는 아니지만, 성공 시 서버 전체 장악으로 이어진다
- 패치 버전: 18.0.80 계열은 Plesk Obsidian 18.0.80.7 이상, 18.0.79 계열은 18.0.79.11 이상으로 업데이트해야 한다. Plesk는 결함을 신고한 연구자 Ali Mustafa(rz1027)·abed1526에게 공로를 돌렸다
- 우선순위: 인터넷에 노출된 멀티테넌트 Plesk 서버, 특히 고객이 FTP 접근과 백업·복원 기능을 쓸 수 있는 호스팅 환경을 최우선으로 패치하라고 권고했다
- 탐지 포인트: 고객 웹 루트 밖의 비정상적 파일 소유권 변경, 구독 디렉터리 내 예상치 못한 심링크, Backup Manager 복원 작업을 동반한 의심스러운 활동, 그리고 권한 있는 파일시스템 변경·인증 로그를 점검하라고 제시했다
출처: Cyber Security News - Plesk Backup Manager Flaw Lets Low-Privileged Users Gain Root Access to Servers · Plesk Support - Vulnerability in Plesk's Backup Manager (symlink race during restore)
3. NSA, 대대적 조직 개편 — '미션 센터' 5개로 재편(중국·사이버·AI·전투지원·글로벌 정보)
미 국가안보국(NSA)이 수집한 첩보를 실제 작전 현장에 더 빠르게 전달하기 위해 빠르고 광범위한 조직 개편에 착수했다. 기존 국(directorate) 체계를 폐지하고 중국, 사이버보안, 인공지능, 전투 지원, 글로벌 정보를 담당하는 5개 '미션 센터(mission center)'로 재편하는 구상이다. 워싱턴포스트가 처음 보도했고 The Record가 복수의 소식통을 통해 확인했다.
- 추진 배경·일정: NSA와 미 사이버사령부(Cyber Command)를 함께 이끄는 육군 대장 조슈아 러드(Joshua Rudd)가 이달 초 인력에 변경 사항을 공유하고 30일 시한을 걸었으며, 5개 기구는 내년 1월까지 '완전 작전 능력(FOC)'에 도달할 것으로 전망된다
- 인사: 각 미션 센터마다 수장이 따로 임명되며, AI 부문 책임자를 포함한 일부 인선은 이르면 월요일 내부 발표될 수 있다
- 미확정 사항: 1990년대 만들어진 정예 해킹 조직 TAO(Tailored Access Operations)는 글로벌 정보 산하로 배치될 예정이지만, Cybersecurity Collaboration Center 등 최근 생겨난 조직들의 거취와 Cyber Command와의 관계 변화는 아직 불분명하다
- 내부 우려: 현·전직 관계자들에 따르면 러드 대장과 팀 코시바 부국장은 이 급격한 재편이 "느린 관료조직에서 문제를 일으킬(broke things)" 것을 인지하고 있으며, 진행 중에 수습해 나갈 계획이다
4. Anthropic CEO "AI 안전 조치가 따라잡을 시간을 줘야" — 6~12개월 내 '에이전트 무리'가 인터넷 장악 가능 경고
다리오 아모데이 Anthropic CEO는 토요일(9월 12일) 인공지능 업계가 빠른 개발 속도를 늦춰 안전 조치가 따라잡을 시간을 확보해야 한다고 말했다. 이런 감속이 없으면 6~12개월 안에 AI가 인터넷 전체를 장악할 수 있는 에이전트 무리(swarm)를 이끄는 역량에 도달할 수 있다는 경고다.
- 제안: 아모데이는 웹사이트 게시글로 업계 전반의 점검을 강화하는 계획을 제시했다. 일부는 Anthropic이 자체적으로 이미 시행 중이지만, 나머지는 업계 전반과 각국 정부(권위주의 정부 포함)의 협조가 필요하다고 밝혔다
- 발언: "감속으로 모델이 임계 수준 역량에 도달하기까지 1~2년을 더 벌고 그 시간을 정렬(alignment) 연구에 썼다면, 심각한 사고가 날 위험을 크게 줄일 수 있었다고 믿는다"
- 여론·업계 압박: OpenAI CEO 샘 알트만은 포천 인터뷰에서 안전에 집중하기 위해 내년까지 월가 주식 매각(IPO)을 미루겠다고 밝혔다. 아모데이의 경고는 산업 내·외부의 AI 우려가 커지는 가운데 나왔다
- 사직 잇따라: Anthropic 안전팀 출신 조 벤턴(Joe Benton)은 금요일 사직 게시글에서 "내가 아는 안전 연구 종사자 다수는 옳은 일을 하고 싶어 하지만, 회사가 초지능 경쟁에 갇혀 있다고 느낀다 — 멈추면 덜 양심적인 다른 이들이 앞서 나갈 것이기 때문"이라고 밝혔다. 아모데이는 업계 최고 목소리 중 하나로, 압박은 산업 근로자들의 사직과 함께 더 커지고 있다
출처: SecurityWeek (AP) - Anthropic CEO Dario Amodei Says AI Industry Needs to Give Safety Measures Time to Catch Up · SecurityWeek - Anthropic Researcher Resigns With Warning About the Dangers of AI Development
5. FBI, 사상 첫 '사이버 전략' 문서 발표 — 기소보다 '교란(disruption)'에 무게
FBI가 9월 9일 사상 첫 사이버 전략(Cyber Strategy) 문서를 공개하며, 사이버 위협 행위자를 어떻게 조사·교란할지에 대한 지침을 제시했다. 금전 동기 범죄자와 국가 후원 행위자들이 미국 법 집행의 손이 닿지 않는 관할권에서 활동하는 경우가 늘어난 데 대응해 '전략적 대응'이 필요하다는 문제의식이 담겼다.
- 전략 기조: 미 정부가 사이버 위협 행위자에 대한 '선제적 교란'으로 무게를 옮기는 흐름의 일부다. FBI는 "단호한 행동, 신속한 피해자 지원, 통합된 파트너십, 도구·역량에 대한 지속 투자로 미국을 겨냥한 사이버 행위자에게 비용을 부과하겠다"며 "행동하기 전에 교란하고, 행동하면 폭로하고, 어디에 숨어 있든 책임을 묻겠다"고 밝혔다
- 4대 축: 문서는 ▲사이버 적대자를 조사·교란하고 비용을 부과 ▲(이하 축 포함) 피해자 지원 ▲통합 파트너십 ▲도구·역량 투자 체계로 구성됐다. 위협을 식별해 피해 기관의 네트워크 침해 사실을 경보하고 교란 작전을 개시하는 순서를 명시했다
- 전문가 평가: Exabeam의 가브리엘 헴펠은 "교란을 기소보다 중시하는 흥미로운 전환"이라며 "사이버 범죄 단속의 '성공'은 몇 년 뒤에나 나오는 체포로 측정돼 왔다. 인프라를 내리고, 자금을 압수하고, 접근 권한을 태우고, 수법을 폭로해 적이 재건하게 만드는 것도 작전적 성과"라고 평가했다
- 배경: 지난 8월 트럼프 대통령은 연방 법 집행기관이 미국을 겨냥하는 해외 위협 행위자에 대해 민간 기업과 협력해 공세적 사이버 타격을 수행하도록 승인하는 각서에 서명했다
6. Microsoft 365 'Direct Send' 악용 피싱 확산 — 3만 건 분석해 보니 사람 업무시간에 맞춰 쏜다
Microsoft 365의 정상 기능인 Direct Send를 악용한 피싱 캠페인이 미국 동부 업무시간에 맞춰 이뤄지는 것으로 관측됐다. KnowBe4 Threat Lab은 2026년 7~8월 두 달간 Direct Send를 악용한 피싱 이메일 29,785건(확인 기준)을 분석하고 보고서를 9월 10일 공개했다.
- 인간적인 패턴: 월~화요일에 특히 활발하며 미국 동부 업무시간에 집중됐다. 정오 직전에 정점을 찍고 잠시 주춤하다 오후 2시(EST)경 다시 최고치에 도달했으며, 주말에는 거의 0건이었다 — 캠페인이 사람의 근무 리듬에 맞춰 스케줄링된다는 뜻이다
- Direct Send 악용 방식: 프린터·스캐너나 레거시 앱이 전용 계정 없이 메일을 보내도록 만든 정상 기능을 악용해, 인사·회계·관리자 등 신뢰하는 내부 주소에서 온 것처럼 위조된 메일을 발송한다. 직원 계정을 탈취하거나 자격증명을 확보할 필요가 없고, 대상 조직의 Exchange Online MX 엔드포인트에 직접 접속해 일반 메일 보안 게이트웨이를 우회한다
- 탐지 회피: DMARC 정책을 모니터링 모드(p=none)로 운영하는 조직은 인증 검사가 이상을 감지해도 메일이 배달될 수 있다. 첨부파일을 동반한 피싱 메일이 약 35%였고 이들은 사실상 전부 위협으로 분류됐다 — 위조 문서 요청, 내부 음성사서함 알림, 청구서·결재 승인, 가짜 OneDrive 파일 공유 등이다
- 회신 경로 탈취: 악성 메일 4,023건은 다른 도메인을 가리키는 회신 주소(reply-to)를 사용해 직원의 회신을 공격자에게 직접 전달했고, 한 건은 단일 발송으로 수신자 900명에 도달했다
- 대응 권고: Exchange 헤더
X-MS-Exchange-Organization-AuthAs: Anonymous(무인증 경로로 도착한 메일의 신호)를 탐지하고, DMARC 정책을 p=none에서 강제 모드로 전환하는 등 엄격한 집행을 권고했다
출처: Infosecurity Magazine - Hackers Favor US Eastern Business Hours in M365 Phishing Campaign
목록으로 돌아가기