Daily Security & AI Update

1. 가짜 LastPass Authenticator 설치 프로그램이 'Microsoft 서명' 커널 드라이버로 백신·EDR을 죽인다

GitHub에서 검색 상위에 노출된 가짜 LastPass Authenticator 배포 페이지(github.com/LastPass-Authenticator)가 Microsoft 서명을 받은 커널 드라이버를 설치해 백신과 EDR을 커널 레벨에서 종료시킨 뒤, 비밀번호 탈취 악성코드를 실행하는 캠페인이 공개됐다. LastPass와 Delphos Labs가 9월 17일 공개했으며, LastPass 자체 시스템·서비스·고객 금고는 침해되지 않았다고 밝혔다.

• 공격 방식: 정품 Microsoft 디버깅 도구 vsdbg.exe를 이름만 바꿔 배치하고 같은 폴더에 악성 vsdbg.dll을 두는 DLL 사이드로딩. 로더가 3가지 경로로 관리자 권한을 얻어 SYSTEM까지 상승한 뒤 커널 드라이버를 서비스로 설치한다.
• 드라이버: 연구진이 Alinubx.sys로 명명한 드라이버는 145개 백신·보안 프로세스 이름 목록을 내장하고 발견 즉시 종료한다. 커널에서 실행되므로 사용자 모드 보안 도구가 차단·탐지할 수 없다 — 전형적인 BYOVD(Bring Your Own Vulnerable Driver) 기법.
• 왜 안 잡혔나: 이 드라이버는 2023년 3월 서명된 정상 서명본으로, 중국 디스크 암호화 제품 CnCrypt의 CcProtect.sys를 파일명·설명만 바꾼 복사본이다. LOLDrivers 카탈로그에 이미 공개 PoC가 있는 파일이지만, 이름을 바꾸자 8월 VirusTotal 탐지가 약 70개 엔진 중 7개 → 0개로 떨어졌다. Microsoft 차단 목록에도 없었다.
• 탈취 대상: 20여 종 브라우저의 저장된 비밀번호, 암호화폐 지갑 파일, Discord·Steam·Telegram 로그인 세션, Windows Credential Manager, 파일명에 password·seed·recovery가 들어간 파일. Chrome·Edge의 앱 바인딩 암호화를 우회하려 브라우저에 코드를 주입해 브라우저 자체 서비스에 복호화를 요청한다.
• 배포 위장: 압축 파일이 148MB·127.9MB로 정크 파일로 부풀려져 크기 제한이 있는 스캐너를 회피한다. 정품 LastPass Authenticator는 lastpass.com과 공식 앱스토어에서만 배포되며 GitHub가 아니다.
• 시사점: 연구진 표현대로 "Microsoft attestation은 드라이버가 신뢰 파이프라인을 통과했음을 증명할 뿐, 안전함을 증명하지 않는다." 서명 검증만으로는 방어되지 않으므로 LOLDrivers 기반 드라이버 차단 정책이 필수다.

출처: The Hacker News - Fake LastPass Authenticator Installer Abuses Microsoft-Signed Driver to Kill Antivirus and EDR

2. 북한 'Contagious Interview' 캠페인 — 3만 대 감염, 암호화폐 1,071만 달러 탈취

북한 위협 행위자(WaterPlum)의 Contagious Interview 캠페인이 최소 3만 대 이상의 기기(100개국 이상)를 감염시키고 7,000개 이상의 암호화폐 지갑에서 자금·자격증명을 빼갔다고 미·일 등 공동 사이버 보안 권고문이 밝혔다. 피해 규모는 1,071만 달러다.

• 표적: 웹 디자이너, 엔지니어, 암호화폐·핀테크 분야 전문가 개인. LinkedIn 등 소셜 미디어에서 채용 담당자를 사칭해 접근한 뒤 "코딩 테스트/과제"를 요구하는 다단계 감염 체인을 태운다.
• 악성코드 패밀리: BeaverTail, InvisibleFerret, FlexibleFerret, GolangGhost, PylangGhost, OtterCookie, RATatouille, OtterCandy, StoatWaffle 등 계속 늘어나는 도구 세트를 투입한다.
• 조직 배후: WaterPlum과 북한 IT 워커(PurpleDelta/Wagemole)가 모두 군수공업부 제313총국 산하로 평가되며, 두 클러스터는 랩탑 팜에 접속할 때 동일 IP를 쓰는 등 깊게 얽혀 있다. 일본에서 운영되던 랩탑 팜 하나가 적발·해체됐다.
• 단순 자격증명 탈취를 넘어: 감염된 개발자가 속한 조직으로 침투해 산업 스파이 활동, 지식재산 탈취, 측면 이동까지 노린다. 탈취한 신분증 이미지는 북한 IT 워커의 신원 위장에 재활용되어 외화 벌이에 쓰인다.
• 대응: 개발자 채용·과제 요청을 받으면 검증되지 않은 저장소·실행 파일을 절대 로컬 머신에서 실행하지 말 것. 격리 VM/컨테이너에서만 검토하고, 최근 코딩 과제를 받은 개발자 계정은 자격증명을 전량 폐기·재발급한다.

출처: The Hacker News - Contagious Interview Campaign Compromises 30,000 Devices, Steals $10.71M in Crypto

3. Jade Sleet, 인도 IT 서비스 기업 침해 — FLATROOF·ROOFDECK ARM macOS 백도어

북한 위협 행위자 Jade Sleet이 인도 소재 IT 서비스 기업을 침해한 사건이 SentinelOne에 의해 귀속됐다. DevOps 엔지니어의 Apple Silicon MacBook이 침투 경로였고, 백도어는 2026년 3월 18일부터 이미 해당 기기에 존재했다.

• GitHub 저장소 미끼: gtn-candidate-repo(KelpDAO 사건에 사용), Northwind-IAC, novacart-interview, terraform-candidate-repo 등 면접 과제 형태의 저장소를 배포한다. 저장소에는 무기화된 Terraform 의존성 잠금 파일(.terraform.lock.hcl)이 들어 있어, 개발자가 terraform init을 실행하면 registry.hashicorp-aws[.]com 같은 위장 도메인에서 공격자 제어 모듈을 내려받는다.
• FLATROOF: Telegram을 C2로 쓰는 Rust 백도어. 명령 실행, 파일 업·다운로드, 데이터 탈취를 지원하며 Python 모듈로 Chrome·Brave·Firefox·Safari 브라우저 데이터, 터미널 명령 기록, 설치 앱 목록, 시스템 프로파일, 실행 중 프로세스 스냅샷, login.keychain-db 사본까지 수집한다.
• ROOFDECK: Nostr 프로토콜(탈중앙 C2)을 쓰는 Rust 백도어. 정찰, 파일 조작, 원격 셸, 측면 이동, Launch Agent 영속화를 지원한다. 명령은 운영자 개인키로 서명되고 내장 공개키로 무결성을 검증한 뒤 실행된다 — Lazarus의 LightlessCan과 유사한 성숙한 설계다.
• 시사점: "Terraform 잠금 파일"과 "면접 과제 저장소"가 동시에 등장하는 순간이 이제 표준 공격 서명이다. CI/CD 파이프라인에서 신뢰되지 않은 저장소의 terraform init·npm install·pip install을 격리 없이 돌리는 조직은 같은 벡터에 노출된다.

출처: The Hacker News - Jade Sleet Linked to Indian IT Provider Breach With FLATROOF and ROOFDECK Backdoors

4. [규제] 아일랜드 DPC, 위치 데이터 GDPR 위반으로 구글에 4억 300만 유로 과징금

아일랜드 데이터보호위원회(DPC)가 구글의 세 가지 기능이 이용자 위치 데이터를 처리한 방식이 GDPR을 위반했다며 4억 300만 유로(약 6,500억 원)의 과징금을 부과했다. 위반 기간은 2018년 5월 ~ 2020년 2월이다.

• 추가 명령: DPC는 구글이 6개월 이내 처리 방식을 법에 적합하게 시정하도록 명령했다. 어떤 기능이 문제였는지는 공개하지 않았다.
• 의미: 빅테크의 위치 데이터 처리에 대한 EU 규제 당국의 일관된 압박이 이어지고 있다는 신호로, 위치 기반 서비스를 운영하는 개발자에게도 데이터 최소 수집·보존 기간 명시·동의 범위 문서화가 감사 대응의 핵심이 되고 있다.
• 실무: 위치·기기 식별자를 수집하는 서비스는 수집 목적별 동의 분리, 목적 달성 후 즉시 파기, 처리 기록(ROPA) 최신화를 4분기 감사 전에 점검할 것을 권한다.

출처: The Hacker News - Google Fined €403 Million Over GDPR Violations Tied to Location Data

5. [취약점] REDCap 사전 인증 RCE CVE-2026-90817 (9.8) 외 NVD 고위험 트리오

NVD 3일 창(9/19~9/22)은 totalResults 499건으로 주말 보정된 물량이었지만, 상위는 여전히 9.8점대 사전 인증 원격 코드 실행·임의 파일 업로드가 차지했다. 세 건 모두 인증 없이 또는 최소 권한으로 코드 실행이 가능하다는 공통점이 있다.

• CVE-2026-90817 (CVSS 9.8) — REDCap 사전 인증 RCE: 공개 설문(survey) 컨텍스트에서 라우팅을 조작해 의도하지 않은 컨트롤러 라우트에 접근하고, 데이터 임포트 처리 과정에 조작된 파일 경로/스트림 파라미터를 넘겨 REDCap 서버에서 임의 코드를 실행할 수 있다. 인증은 불필요하지만 유효한 공개 설문 해시를 알아야 한다. REDCap 13.3.0 이상이 영향 대상.
• CVE-2026-84434 (CVSS 9.8) — Gravity Forms 임의 파일 업로드: WordPress용 Gravity Forms 플러그인 3.1.0.4 이하 전 버전에서 upload_file 함수를 통한 임의 파일 업로드가 가능하다. 업로드가 가능하면 웹셸 배치로 직결되므로 최우선 패치 대상.
• CVE-2026-78030 (CVSS 9.8) — Perl DBI 임의 모듈 로드: Perl DBI 1.653 미만의 DBD::DBM이 dbm_type·dbm_mldbm 속성을 검증 없이 require에 넘긴다. 경로 형태 문자열이 리터럴 파일명으로 처리되고 @INC를 조회하지 않으므로, 속성 하나로 로드·실행할 파일을 고를 수 있다. MLDBM::Serializer:: 접두사도 /를 포함한 값으로 탈출 가능해 경계가 되지 못한다.
• 공통 시사점: 세 건 모두 "입력 검증 부재 + 신뢰 경계 착각"이다. REDCap은 설문 해시를 비밀로 취급해 노출을 줄이고(설문 익명화·해시 회전), WordPress는 플러그인 자동 업데이트를 켜고, Perl 애플리케이션은 DBI 1.653 이상으로 올린다.

출처: NVD - CVE-2026-90817, NVD - CVE-2026-84434, NVD - CVE-2026-78030

6. [취약점] Suricata 8.0.7 메모리 결함 2건(9.4) + AI·에이전트 도구 샌드박스 탈출·코드 실행

탐지 인프라 자체의 결함과 AI 도구의 실행 경로 결함이 같은 날 올라왔다. Suricata는 http.response_header 룰을 쓰는 환경이라면 즉시 업데이트가 필요하고, OpenPanel·Mistral Vibe는 "샌드박스가 경계가 되지 못하는" 최근 반복 패턴을 그대로 보여준다.

• CVE-2026-94083 (9.4) — Suricata DoH2 타입 혼동: DoH2 요청에 HTTP1→HTTP2 업그레이드가 섞일 때 HTTP2 상태 정리 코드가 잘못 실행되어 invalid free가 발생한다. app-layer.protocols.doh2 활성화가 조건인데, 8.x에서는 기본 활성이다. → IPS/IDS 프로세스 크래시로 이어질 수 있다.
• CVE-2026-94084 (9.4) — Suricata Http2ThreadMultiBuf UAF: http.response_header 룰을 transform 유무와 무관하게 동시에 적용할 때 use-after-free가 발생한다. 두 건 모두 Suricata 8.0.7에서 수정됐다(8.0.6 → 8.0.7 비교 참조).
• CVE-2026-93985 (9.4) — OpenPanel js-runtime 샌드박스 탈출: 웹훅 템플릿 검증기가 계산된 멤버 접근(computed member access)을 통한 constructor 체인을 막지 못한다. 프로젝트 쓰기 권한만 있으면 Function 생성자에 접근해 워커 프로세스에서 임의 코드를 실행할 수 있다. 영향: 커밋 bad75bdd까지.
• CVE-2026-93993 (8.6) — Mistral Vibe git hook RCE: vibe의 worktree 생성 과정이 신뢰 검증보다 먼저 git hook을 실행한다. 공격자가 조작한 저장소의 post-checkout 훅에 임의 셸 명령을 넣으면 코딩 에이전트 사용자 권한으로 그대로 실행된다. 2.25.5에서 수정. AI 코딩 도구가 신뢰되지 않은 저장소를 다루는 순간이 곧 RCE 표면이라는 점을 보여준다.
• 대응: ① Suricata를 8.0.7 이상으로 즉시 올린다. ② OpenPanel js-runtime을 최신 커밋으로 교체한다. ③ Mistral Vibe를 2.25.5 이상으로 올리고, 그 전까지는 신뢰되지 않은 저장소를 Vibe로 열지 않는다. ④ 에이전트 프레임워크는 코드 실행 전용 저권한 격리 런타임에서만 돌린다.

출처: Suricata Forum - Suricata 8.0.7 Released, GitHub Advisory - OpenPanel js-runtime Sandbox Escape, NVD - CVE-2026-93993

7. [패치] CISA KEV 마감 임박 — Zyxel GS1900(9/24), JFrog Artifactory(9/25)

이번 주 KEV 마감 일정이 이틀 간격으로 몰려 있다. 지난주 9월 21일이 마감이었던 Linux 커널 3건(CVE-2025-39964, CVE-2026-53266, CVE-2025-39682)은 이미 기한이 지났으므로 미적용 환경은 즉시 사후 점검이 필요하다.

• 9월 24일 마감 — Zyxel GS1900 시리즈 스위치, CVE-2026-7273: CGI 프로그램의 스택 기반 버퍼 오버플로. LAN 기반 비인증 공격자가 악용해 OS 명령을 실행할 수 있다. 같은 L2 세그먼트에 있는 것만으로 공격 가능하므로 관리 VLAN 분리와 펌웨어 업데이트를 함께 해야 한다.
• 9월 25일 마감 — JFrog Artifactory, CVE-2026-42016 / CVE-2026-42018: 42016은 토큰 서명·발급자만 검증하고 스코프를 검증하지 않아 권한 상승이 가능한 부적절한 인가 결함. 42018은 익명 접근이 비활성화된 상태에서도 비인증 호출자에게 내부 익명 사용자 토큰을 반환하는 부적절한 인증 결함이다. 아티팩트 저장소는 CI/CD 자격증명이 모이는 곳이라 연쇄 피해가 크다.
• 권장 순서: 인터넷 노출 여부와 무관하게 Artifactory(9/25) → Zyxel(9/24) → 지난주 마감 Linux 커널(즉시) 순으로 처리하고, Artifactory 패치는 토큰 발급 로직 변경이므로 적용 후 기존 CI 토큰 전량 재발급까지 묶어서 진행한다.

출처: CISA - Known Exploited Vulnerabilities Catalog, NVD - CVE-2026-7273, NVD - CVE-2026-42016

8. [트렌드] TASK#STOMP 백도어, 그리고 '블록체인 C2'로 회전하는 악성코드 인프라

이번 주 악성코드 캠페인은 인프라 자체를 탈중앙화해 테이크다운을 무력화하는 방향으로 뚜렷하게 이동했다. 동시에 ClickFix 계열 자기감염 유도가 Reddit 공식 계정까지 침범했다.

• TASK#STOMP (Securonix): wscript.exe로 인코딩된 VBScript(95c9050t66.vbs)를 실행하는 PowerShell 백도어 캠페인. "Local Credential Manager", "Network Audio Service", "Windows Display Manager", "Device Credential Handler" 같은 정상 서비스명으로 예약 작업을 만들어 위장하고, Startup 폴더에 msdiag.vbs로 백업 영속화를 걸어 이중 영속화를 확보한다.
• 기능과 감시: 업무 문서 자동 수집·유출, 파일시스템 실시간 감시, Wi-Fi 비밀번호·클립보드 탈취, 스크린샷, 임의 원격 명령 실행. sys_loader.ps1과 win_conn.ps1 두 프로세스가 상호 워치독 관계로 서로를 재기동하며 C2는 corecloudfileshare[.]xyz / attachmentsharingdrive[.]xyz를 쓴다. 타임스톰핑까지 동원해 관리자 육안 점검을 회피한다.
• ChainScript RAT + Polygon C2 (Blackpoint): ClickFix 유인 → Spotify·Zoom·Teams로 위장한 MSI(ComponentTask33-4d14e6ac.msi) → Node.js 런타임 설치 → WebSocket C2. 핵심은 Polygon 스마트 컨트랙트를 외부 리졸버로 써서 C2 주소를 로테이션하는 구조다. "백엔드 발견(discovery)과 악성코드 본체를 분리"해 같은 임플란트를 유지한 채 감염 호스트를 새 인프라로 유도할 수 있다 — 기존 IoC 기반 탐지를 무력화한다.
• ClickFix가 신뢰 채널로 침투 — PasteSwitch: HBO Max 공식 Reddit 계정(u/hbomax)이 탈취되어 48시간 동안 108건의 악성 광고가 게시됐다(Hudson Rock·ADAMnetworks가 PasteSwitch로 명명). macOS 분기는 MacSync·AMOS·가짜 지갑 앱을, Windows 분기는 Amatera Stealer와 클리퍼(AnimateClipper·ZigClipper)를 배포했다.
• 시사점: ① 정상 클라우드 스토리지 도메인 형태의 C2(*cloudfileshare.xyz)는 도메인 평판만으로 걸러지지 않는다 — 스크립트 실행 체인(wscript → PowerShell → C2) 자체를 차단하는 룰이 더 유효하다. ② 블록체인 기반 C2 로테이션이 상용화되면서 IP·도메인 IoC의 유효 수명이 급격히 짧아졌다. ③ ClickFix는 이제 "신뢰된 공식 계정"에서도 나온다 — 사용자 교육 문구에 "공식 계정도 확인하고, 붙여넣기 요구는 거부" 를 명시적으로 추가해야 한다.

출처: The Hacker News - TASK#STOMP PowerShell Backdoor Steals Documents, Wi-Fi Passwords, and Clipboard Data, The Hacker News - ClickFix Lures Deploy ChainScript RAT Using Polygon to Rotate C2 Infrastructure