Daily Security & AI Update

1. MemTensor npm·PyPI 패키지가 침해됐다 — 'sckit' 자격증명 탈취기가 스스로 퍼진다

정체불명의 공격자가 정상 배포되던 MemTensor 패키지 2건을 npm과 PyPI에서 각각 오염시켜, Windows·Linux·macOS용 Go 임플란트 'sckit'을 유통했다. Aikido·SafeDep·Socket·StepSecurity가 9월 23일 나란히 보고했으며, AI 에이전트용 메모리 서비스(MemOS Cloud 플러그인, OpenClaw/Clawdbot/Moltbot 런타임 연동)를 사칭한 점이 특징이다.

• 침해 패키지: npm @memtensor/memos-cloud-openclaw-plugin 0.1.21 · 0.1.23 · 0.1.25(0.1.22와 0.1.24는 정상), PyPI MemoryOS 2.0.34(현재 PyPI에서 격리). 안전 기준선은 npm 0.1.20 / PyPI 2.0.33.
• 실행 조건: npm 버전은 에이전트 게이트웨이가 시작될 때와 메모리 리콜 이벤트마다 페이로드를 띄우고, 호스트 프로세스 환경변수와 사용자 프롬프트 원문을 그대로 실행 파일에 넘긴다. PyPI 버전은 memos 모듈을 import 하는 순간 정적 링크된 Go 바이너리를 기동한다.
• 수집 대상: .npmrc, .vault-token, id_ecdsa, credentials.db, access_tokens.json 등 자격증명 파일과 NPM_TOKEN·PYPI_API_TOKEN 등 환경변수, AWS 키·GitHub·GitLab·Hugging Face·Vault·Slack·Stripe·SendGrid 키, 세션 쿠키·JWT. 탈출 도메인은 skyleen[.]fr.
• 침투 경로: SafeDep 분석에 따르면 공격자는 MemTensor 자체 GitHub Actions 릴리스 파이프라인에 커밋을 밀어 넣어 npm/PyPI 발행 토큰을 워크플로가 넘겨주도록 만들었다. 즉 CI/CD가 공급망 공격의 실행 지점이 됐다.
• 웜 기능: sckit은 서명된 명령을 C2에서 받아 npm 패키지·PyPI 패키지·GitHub Actions 워크플로에 자기 자신을 설치하는 템플릿을 내장하고 있어, 자가 증식이 가능한 구조다. MemTensor 외 다른 패키지의 추가 감염 여부는 아직 확인되지 않았다.
• 대응: 위 버전 고정(0.1.20 / 2.0.33) → 노출된 모든 시크릿 회전 → sckit 프로세스 종료 → skyleen[.]fr 및 하위 도메인 차단. 악성 npm 버전이 아직 내려가지 않은 상태라 다운로드 전 버전 고정이 우선이다.

출처: The Hacker News - Compromised MemTensor Packages Deliver sckit Credential Stealer via npm and PyPI

2. HashiCorp Terraform 레지스트리가 처음으로 악성코드 유통 경로로 악용됐다 — npm 10종 연쇄

연구진이 Go 모듈 2개와 Terraform 프로바이더 2개를 통해 Go 기반 악성코드가 배포된 사실을 공개했다. HashiCorp가 운영하는 중앙 저장소(Terraform Registry)가 페이로드 유통 벡터로 쓰인 첫 사례다. 피해자는 LinkedIn·Facebook 또는 포럼의 가짜 Web3 채용 공고로 접근해 "코딩 과제"를 수행하는 과정에서 악성 의존성을 설치하게 된다.

• 악성 패키지: Terraform 프로바이더 gocommunity-io/dockerd(다운로드 222회), kreuzwenker/docker(1,449회), Go 모듈 gocommunity.io/orderedbtree·gogets.dev/btreex.
• 동시에 확인된 npm 클러스터: indexed-btree, mathsbase, mathmain, math-universe, modern-events, quick-events, crypto-hasher, events-router, sort-btree, graphcore-js, graphlib-js. 9월 23일자 게시물에서 다룬 indexed-btree와 동일 계열이다.
• 트리거와 은닉: 일부 패키지는 특정 암호 연산이 수행될 때만 악성코드가 실행되고, 페이로드는 피해자가 하나의 특정 행렬로 연립방정식을 풀 때에만 복호화된다. JFrog 표현대로 "표적 작전의 전형"이다.
• C2 2중화: 명령은 이더리움 Sepolia 테스트넷 스마트 컨트랙트에서 받고, Slack 채널로 두 번째 통로를 연다. Slack conversations.history를 10초마다 폴링해 Start/Chunk/End 패킷으로 파일을 나눠 전송받고, blockchain 경로는 subwatcher를 복호화해 Node.js로 실행한다.
• 신뢰 위조: 다운로드 수는 GitHub Actions 워커 팜으로 부풀려 "인기 패키지"처럼 보이게 만들었다.
• 귀속: 2026년 2월 ReversingLabs가 문서화한 Graphalgo 캠페인과 코드가 겹치며, 북한(DPRK) 연계로 평가된다. 다만 후속 단계 코드는 대칭키로 복호화되지 않아 공격자가 실제로 무엇을 실행했는지는 특정되지 않았다.
• 시사점: "레지스트리 = 신뢰 경계"라는 가정이 npm·PyPI를 넘어 Terraform·Go 모듈 생태계까지 깨졌다. 코드 과제 요청을 받은 개발자는 의존성 트리 전체를 확인해야 한다.

출처: The Hacker News - Attackers Use Malicious Terraform Providers to Deliver Go Malware via HashiCorp Registry

3. GitLab 이슈용 이메일 주소가 곧 자격증명 — main에 커밋하고 CI를 내 권한으로 돌린다

GitLab이 이슈 접수를 위해 사용자마다 발급하는 비공개 이메일 주소 자체가 만료되지 않는 토큰이며, 이를 확보한 사람은 메일함에 접근하지 않고도 해당 사용자로 코드를 푸시하고 CI/CD 작업을 실행할 수 있다는 사실이 Aikido Security에 의해 공개됐다.

• 주소 구조: 주소 가운데 문자열이 계정에 묶인 토큰이고, GitLab 문서상 만료가 없다. 프로젝트별로 주소는 달라 보이지만 같은 토큰을 공유해 계정이 접근 가능한 모든 프로젝트(공개·비공개)에 유효하다.
• 발신자 검증 없음: GitLab은 메일 발신자를 확인하지 않는다. 아무 메일함에서나 보낼 수 있고, GitLab은 온 것만으로 "본인이 보낸 것"으로 처리한다.
• 커밋·CI로 확장: 주소 접미사 -issue를 -merge-request로 바꾸고, 제목줄에 대상 브랜치명을 넣은 뒤 패치를 첨부해 전송하면 GitLab이 해당 브랜치(없으면 생성 후 main 포함)에 커밋을 만들고 작성자도 피해자로 기록한다. 그 패치가 .gitlab-ci.yml을 수정하면 공격자 작업이 피해자 권한으로 실행된다.
• 통제 우회: 수신 이메일은 IP 제한 예외이고 2FA도 적용되지 않는다. Aikido는 비공개 프로젝트를 자사 IP 하나로 제한한 뒤 브라우저·git clone은 차단됐지만 MR 이메일은 통과해 main에 커밋이 들어간 것을 확인했다.
• 영향 범위: GitLab.com 전 계정과 수신 이메일이 켜진 self-managed 인스턴스(기본 활성). GitLab Dedicated는 해당 기능 제한으로 영향 없어 보이나 직접 테스트되지는 않았다.
• 완화: 프로필의 personal access tokens 페이지에서 수신 이메일 토큰 재발급 — 재발급 시 모든 프로젝트 주소가 한꺼번에 교체된다. 권한이 클수록(Maintainer 이상) 위험이 크므로 노출 이력이 있으면 즉시 교체해야 한다.

출처: The Hacker News - A Leaked GitLab Issue Email Address Lets Anyone Push Code and Run CI Jobs as You

4. MikroTrick — MikroTik RouterOS SSH 결함 2건 체인, 비밀번호·키 없이 관리자 장악

CERT Polska가 MikroTrick이라 명명한 공격 체인이 공개됐다. 인터넷에 SSH가 열린 MikroTik RouterOS 라우터에서 비밀번호도 SSH 키도 완료된 인증도 없이 완전한 관리자 권한을 얻을 수 있다. 공격 흔적은 최소 9월 2일까지 거슬러 올라가며, 이는 MikroTik이 패치를 배포한 9월 3일보다 하루 앞선다.

• 1단계 CVE-2026-67279(SSH 상태 머신): SSH는 연결 → 인증 → 세션·명령 실행 순서를 따라야 하고 서버는 SSH_MSG_USERAUTH_SUCCESS로 인증 성공을 알린다. 인증 단계 도중 클라이언트가 SSH 키 재협상을 시작하면 취약한 RouterOS가 재협상 완료 시 사용자 신원 확인 없이 명령 실행 단계로 건너뛴다. 그 자체로 권한을 주지는 않지만 인증을 건너뛴 단계에 도달하게 해준다.
• 2단계 CVE-2026-86060(인자 주입): RouterOS 로그인 프로그램(/nova/bin/login)이 SSH 데몬으로부터 사용자명과 권한 레벨을 명령행 인자로 받는다. 하이픈으로 시작하는 값이 옵션으로 해석되는 점을 악용해 사용자명으로 -2를 보내면, 로그인 프로그램이 파일 디스크립터 2(SSH 세션이 만든 터미널)에서 신원과 권한 레벨을 읽는다. 공격자는 그 터미널에 이미 원하는 사용자명과 최고 관리자 권한 값을 써 두었으므로 완전 권한 콘솔이 열린다.
• 탐지 지표: 기기 로그에 남는 사용자 -2 로그인 실패 기록이 이 체인의 특징적 흔적이다. MikroTik 포럼 게시글이 9월 2일자로 이 패턴을 보고했고, 진단 리포트에는 -2 인증 거부 → 강제 재협상 → 명령 실행 순서가 그대로 남아 있다.
• 패치: RouterOS 6.49.21, 7.23.4, 7.24.2. 공개 네트워크에서 SSH가 도달 가능한 장비는 즉시 업그레이드가 필요하다. 9월 5일 CERT Polska의 1차 경고는 악용 사실만 알렸고, 이번 분석이 두 결함의 조합 방식을 처음으로 규명했다.

출처: The Hacker News - MikroTrick Chain Let Attackers Take Over MikroTik Routers Without a Password or SSH Key

5. [취약점] F5 BIG-IP APM 0-day(CVE-2026-94127)가 실제 악용 중 — 무인증 RCE, KEV 마감 9/25

F5가 BIG-IP Access Policy Manager(APM)의 치명적 결함이 실제 공격에 악용되고 있다고 9월 22일 공지하고 엔지니어링 핫픽스를 배포했다. 로그인 없이 BIG-IP 시스템에서 코드를 실행할 수 있으며, CISA는 같은 날 KEV 카탈로그에 등재하고 연방기관에 9월 25일까지 조치할 것을 요구했다.

• 결함·등급: CVE-2026-94127, 힙 기반 버퍼 오버플로. F5 산정 CVSS v3.1 9.8 / v4.0 9.3.
• 취약 조건: APM이 OAuth 인가 서버(authorization server) 역할로 동작하는 경우. 구체적으로는 APM 액세스 정책과 OAuth 인가 서버 프로파일이 같은 가상 서버에 함께 설정된 구성이다. 악성 트래픽이 관리 인터페이스가 아니라 그 가상 서버 자체로 들어오므로, 관리 포트 접근 제한으로는 막을 수 없고 Appliance 모드에서도 취약하다.
• 핫픽스: 21.1 브랜치 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG, 17.5 브랜치(17.5.0~17.5.1 이전) Hotfix-BIGIP-17.5.1.9.0.160.12-ENG, 17.1 브랜치(17.1.0~17.1.3 이전) Hotfix-BIGIP-17.1.3.5.0.41.14-ENG. APM을 OAuth 클라이언트나 리소스 서버로만 쓰고 인가 서버 프로파일이 없는 시스템은 영향 없음.
• 주의: F5 CVE 레코드는 9월 23일 00:45 UTC에 "인가 서버 역할 한정"으로 수정됐지만, 그보다 먼저 배포된 CISA KEV 항목과 CERT-EU 권고는 조건을 더 넓게 서술한다. 또 다른 APM 결함 CVE-2025-53521의 수정판(17.1.3 / 17.5.1.3)이 이번 영향 범위 안에 있어, 해당 버전이라도 새 핫픽스가 필요하다.
• 완화·탐지: 즉시 설치가 어려우면 F5 지원팀 티켓으로 받는 iRule 완화책을 적용. CERT-EU는 포렌식 증거 보존 → 핫픽스 적용 → 침해 징후 점검 → 사고 대응 순서를 권고한다. 사람이 검토해야 할 조합은 반복된 OAuth 인증 실패 → 의심 명령 → 직후 TMM SIGABRT이다.
• 참고: F5는 기술지원 종료(EoT) 버전을 평가하지 않아 해당 버전은 "안전"이 아니라 상태 미확인이다.

출처: The Hacker News - F5 Patches Critical BIG-IP APM Zero-Day Exploited for Unauthenticated RCE on OAuth Servers

6. [취약점] Next.js ImageResponse 결함(CVSS 9.5) — 조작된 SVG 입력으로 서버 코드 실행

Vercel이 Next.js의 ImageResponse(Open Graph 등 소셜 미리보기 이미지 생성 기능)에서 서버 코드 실행으로 이어질 수 있는 결함을 9월 22일 16.3.6에서 수정했다. 앱이 요청 URL 등 공격자가 제어하는 값을 이미지에 넣는 경우 위험이 발생한다.

• 결함·영향: CVE-2026-94545, Vercel 권고 기준 CVSS 9.5(치명적). Next.js 16.2.0 ~ 16.3.5에서 Node.js 런타임으로 ImageResponse를 쓸 때 영향. Edge 버전과 Next.js 15는 영향 없음.
• 발생 원리: ImageResponse는 Vercel 라이브러리 Satori를 사용해 레이아웃을 먼저 SVG 코드로 변환한 뒤 PNG를 만든다. 권고의 예시는 요청 URL에서 가져온 값을 SVG title 요소 안에 넣는 방식이며, 일반 요소(div 내부 헤딩 등) 텍스트도 해당되는지는 명시되지 않았다.
• 확인 방법: 코드에서 next/og의 ImageResponse import 여부를 찾는다(라우트 핸들러, opengraph-image 파일). Satori가 Next.js 패키지에 번들로 포함돼 lockfile에는 별도 의존성으로 나타나지 않으므로 Next.js 버전을 직접 확인해야 한다.
• 주의: 9월 23일 기준 npm audit은 영향 버전(16.3.5)을 잡아내지 못했고, GitHub Advisory Database 등재와 CVE-2026-94545 레코드도 아직 공개되지 않았다. 즉 스캐너는 침묵하는데 취약점은 실재하는 상황이다. 16.2 계열은 수정 릴리스가 없어 16.3.6으로 이동해야 하고, 15.5 계열은 15.5.26이 next/og 보안 강화를 추가한다.
• 임시 완화: 업그레이드가 어려우면 Node.js ImageResponse가 렌더링하는 SVG 콘텐츠·속성·스타일에 공격자 제어 값을 넣지 않도록 차단. 9월 23일 현재 공개 익스플로잇·실제 공격 보고는 없다.

출처: The Hacker News - Critical Next.js ImageResponse Flaw Can Lead to Server Code Execution via Crafted SVG Input

7. [취약점] Ubuntu 커널 컨테이너 탈출(CVE-2026-80521) 익스플로잇 공개 — LTS 3종 미패치 + NVD 신규 고위험

DepthFirst가 Linux 커널 AF_UNIX 소켓 서브시스템의 use-after-free로 컨테이너를 탈출해 호스트 root를 얻는 익스플로잇을 공개했다. 업스트림은 8월 6일 수정했지만 Ubuntu는 26.04·24.04·22.04 LTS 어느 릴리스에도 패치를 배포하지 않았다.

• CVE-2026-80521 (CVSS 7.8): 커널의 AF_UNIX 소켓 가비지 컬렉터가 SCM_RIGHTS로 전달된 파일 디스크립터를 정리하는 과정의 경쟁 조건. 새 참조가 큐에 들어가기 전에 GC가 실행되면 연결된 소켓 그룹 일부를 해제하면서 내부 영속 리스트의 포인터를 지우지 않고, 다음 GC가 해제된 메모리를 따라간다.
• 컨테이너 경계 붕괴: AF_UNIX는 Docker·Kubernetes seccomp 프로파일에서 기본 허용되므로 컨테이너 내부에서 도달 가능하고, 네임스페이스 격리·cgroup 제한·seccomp 필터를 모두 우회한다. 취약 코드는 커널 6.10에서 도입돼 6.1·6.6 안정 브랜치로 백포트됐다.
• 미패치 상태: 업스트림 수정은 8월 6일 메인라인 7.2 / 안정 7.1.10에 반영. Ubuntu 보안 트래커는 26.04를 "vulnerable, work in progress"로 표기하고 배포 일정도 공개하지 않았다. AWS·Azure·GCP 커널 패키지를 비롯한 24.04·22.04 계열도 영향. CISA KEV 미등재이며 확인된 실공격 보고도 없다.
• AI가 찾은 커널 결함: DepthFirst의 취약점 탐지 모델 dfs-large1이 사람 운영 테스트 하네스와 함께 발견했고, 7월 24일 Google kernelCTF 슬롯을 획득해 8월 5일 커널 보안팀에 보고했다. 같은 버그를 OpenAI 연구원이 독립적으로 제보했다는 답변도 받았다. 2026년 공개된 리눅스 커널 CVE는 약 5,700건으로 역대 최다다.
• 임시 완화·시사점: 공개된 워크어라운드는 없고, DepthFirst는 신뢰할 수 없는 워크로드를 Firecracker·Kata Containers 같은 microVM 격리로 옮길 것을 권고한다. "AI가 취약점 발견 비용을 낮춰 커널 공격으로 컨테이너를 벗어나는 장벽이 무너졌다 — 컨테이너를 보안 경계로 취급하지 말라"는 것이 이번 공개의 핵심 메시지다.
• NVD 신규 고위험(9/21~9/23 샘플): CVE-2026-79920 Ajenti 9.9(인증 사용자가 /api/core/tasks/start로 플러그인 설치·업그레이드 태스크 큐잉 → 서버 장악, 2.2.16에서 수정) · CVE-2026-94301 Apache MINA 9.8(6월 CVE-2026-47065 "완전 해결"로 배포된 수정이 java.lang.reflect.Proxy 필터 우회를 막지 못함) · CVE-2026-93012 Perl Email::Sender 9.8(Windows에서 envelope 주소가 셸로 전달돼 임의 명령 실행) · CVE-2026-85751 Mailu 9.8(PROXY_AUTH_WHITELIST만 설정하고 REAL_IP_HEADER를 비우면 클라이언트 헤더 신뢰) · CVE-2026-58491 Warpgate 9.3(SSO 시작 엔드포인트의 next 파라미터 저장 → 0.25.5에서 수정) · CVE-2026-61674 Fluent Bit 9.2(secure_forward_pong 서버 제어 PONG 값 처리, 5.0.8까지) · CVE-2025-12999 Grafana 9.1(UrlUtil.getBaseUrl이 X-Forwarded-Host/Proto/Prefix를 검증 없이 사용) · CVE-2026-86473 Apache Airflow 9.1(Bearer 헤더로 로그아웃하면 토큰이 폐기되지 않음) · CVE-2026-55563 Feast 8.9(AI 피처 스토어의 pull_request_target 워크플로, 0.65.0에서 수정).

출처: The Hacker News - Exploit Released for Unpatched Ubuntu Linux Flaw Enabling Host-Root Container Escape · NVD - CVE-2026-79920 (Ajenti 9.9)

8. [패치] Chrome 154가 108건 수정, cPanel 3종 긴급 수정 — 이번 주 KEV 마감 정리

이번 주 패치 라운드는 브라우저·호스팅 제어판·네트워크 장비에 동시에 몰렸다. 특히 cPanel은 로그인 계정만 있으면 서버 전체를 장악할 수 있는 결함을 긴급 수정했다.

• Chrome 154: Google이 안정 채널에 취약점 108건(치명적 11건 포함)을 수정했다. 치명적 항목은 ANGLE 버퍼 오버플로 3건·WebGL 1건, GPU/WebGL 아웃오브바운드 쓰기 3건, ServiceWorker·Fullscreen·WindowDialog·AdFilter의 use-after-free다. 외부 연구자 제보는 32건, 현재까지 지급된 버그바운티는 1만 8천 달러(대부분의 포상금은 미정). 버전 154.0.8037.57/.58(Windows·macOS), 154.0.8037.57(Linux). 야생 악용 언급은 없다.
• cPanel 3종(root RCE 포함): CVE-2026-87899 — CalDAV·CardDAV 서비스에서 로그인한 호스팅 계정 보유자가 root로 코드 실행("서버 전체 통제"), 요구 조건은 계정 보유뿐이라 공용 공유 호스팅에서는 임의 고객이 악용 가능. 수정: cPanel & WHM 120 이상 → 11.134.0.57 / 11.136.0.41 / 11.138.0.8, WP Squared 11.138.1.11. CVE-2026-87900 — WP Toolkit 6.11.2-10794 이하에서 로그인 사용자가 다른 계정의 데이터베이스를 수정(Plesk 동반 버전 영향 여부는 미공지), 수정 6.11.3 이상. CVE-2026-68490 — 같은 서비스에서 로컬 사용자가 다른 계정의 캘린더·연락처를 읽음(변경·root 권한은 불가). 세 건 모두 연구자 Ali Mustafa(rz1027) 제보이며 8월 27일 이후 cPanel·Plesk 결함 7건 이상과 연결된다.
• 오늘(9/24)이 KEV 마감: CVE-2026-7273 Zyxel GS1900 스위치 스택 버퍼 오버플로 — LAN 측 무인증 공격자가 OS 명령 실행 가능. 9월 23일자 게시물에서 다룬 대로 이미 996대 침해가 확인됐다.
• 내일(9/25) 마감: CVE-2026-93952 Arista VeloCloud Orchestrator(CVSS 10.0, 즉시 익스플로잇 중) · CVE-2026-93616·CVE-2026-85102 Check Point 다중 제품(경로 탐색·인증서 검증) · CVE-2026-94127 F5 BIG-IP APM(본 보고서 5번 항목).
• 현실 점검: ENISA는 2026년 보고서에서 침해 사고의 60%가 이미 알려진 취약점을 이용했다고 집계했다. KEV 마감일은 "새 결함 대응"이 아니라 패치 지연 자체가 최대 리스크라는 신호다.

출처: SecurityWeek - Chrome 154 Patches 108 Vulnerabilities · The Hacker News - New cPanel Flaw Lets a Hosting Account Run Code as Root, Take Full Server Control · CISA - Known Exploited Vulnerabilities Catalog

9. [트렌드] CLOSEDQUORUM — AI 모델 4개가 투표로 다음 행동을 정하는 악성코드, 그리고 ENISA 위협 전망 2026

Cisco Talos가 9월 22일, 공격자 서버 대신 AI 모델의 투표로 명령을 결정하는 Windows 악성코드 CLOSEDQUORUM을 공개했다. 또한 ENISA는 Threat Landscape 2026을 통해 랜섬웨어·취약점 악용·AI 활용 공격이 EU 조직 전반으로 확산했다고 집계했다.

• AI 4개 모델이 C2를 대신한다: CLOSEDQUORUM은 DeepSeek·Qwen·Mistral·Google Gemini 4개 상용 AI 서비스에 컴퓨터 이름·Windows 버전·관리자 여부 같은 기본 정보와 선택 가능한 행동 목록을 보낸다. 행동은 steal·inject·persist·move 4가지이며, 정해진 형식으로 답한 모델의 표를 세어 가장 많은 표를 받은 행동을 실행한다. 유효한 답이 없으면 기본값으로 진행하지 않고 재시도한다. 공격자는 실행 후 명령을 보낼 필요가 없고, 각 결정과 모델의 이유는 Discord 웹훅으로 전달받는다.
• 표가 steal일 때 실제 동작: LSASS 메모리 덤프, Chrome·Edge·Firefox 저장 비밀번호 복사, MetaMask·Exodus·이더리움 지갑 데이터 탈취를 동시에 수행한다. inject는 Early Bird APC 인젝션(또는 프로세스 할로잉), persist는 레지스트리 Run 키 + 예약 작업 + 60초마다 재기동하는 WMI 이벤트 구독 3중 지속화를 설정하며 이름은 Windows Update처럼 위장한다.
• 현실성 평가: Talos는 처음부터 끝까지 동작하는 사례를 보지 못했고, 공개판은 API 키·Discord 웹훅이 자리표시자라 그대로는 동작하지 않는다. 코드 분석 날짜가 2026년 6월 17일이라 최소 3개월 된 코드이며, 개발자는 2025년부터 카드 정보 거래 게시글과 연결된다. Talos는 이를 "공개 문서화된 최초의, C2 결정을 AI에게 넘긴 Windows 임플란트"로 평가한다(2025년 7월 LAMEHUG는 명령을 작성하게 했고, CLOSEDQUORUM은 선택하게 한다).
• 약점: AI 서비스를 전제로 하므로 모델이 요청을 거부하거나, 사용량을 제한하거나, 깨진 출력을 반환하면 공격이 멈춘다. 공격자가 통제하지 못하는 제3자에 의존하는 구조라는 점이 이 설계의 한계다.
• ENISA 위협 전망 2026: 2025년 사고 기준 랜섬웨어가 최대 위협이며, 표적 조직의 32%가 공공행정(비즈니스 서비스·제조업 각 8%), 피해자의 73%가 EU 규정상 필수·중요 기관. 사이버범죄가 전체 사고의 36%(금전 목적 중 랜섬웨어 40%·데이터 유출 31%·사기·사칭 19%), 해커티비스트는 2025년 EU 대상 4,709건 캠페인(89% 이상이 DDoS)을 벌였다. 신규 취약점 공개는 48,000건 이상으로 전년 대비 22% 증가했고, 무단 접근 사고의 60%가 알려진 취약점을 이용했다. 전체 활동 중 DDoS 51.3%·무단 접근 39.5%로, 공급망·서드파티 공격이 대규모 사고의 주된 경로로 자리 잡았다.
• 시사점: 공격 자동화가 "명령 실행"에서 "판단 위임"으로 넘어가고 있다. 동시에 방어 측 통계는 새 결함이 아니라 알려진 결함의 방치가 침해의 주 원인임을 다시 확인시켜 준다.

출처: The Hacker News - This Windows Malware is Built to Let Up to Four AI Models Vote on Its Next Move · Industrial Cyber - ENISA Threat Landscape 2026