데일리 브리핑
이란발 RAT(원격 접속 트로이목마)가 macOS를 공격하고, 패치가 적용되지 않은 Exchange 서버 22,000대와 METR API 키가 유출되었습니다.
오늘 브리핑에서는 리눅스와 macOS를 표적으로 하는 이란산 크로스 플랫폼 악성코드, 노출된 마이크로소프트 익스체인지 서버, 소셜 엔지니어링 전술, 그리고 AI를 이용한 신용 정보 탈취에 대해 다룹니다.
소식 5건2분 소요
위협 행위자들은 점점 더 플랫폼 간 접근성과 반복 가능하고 복잡성이 낮은 배포 메커니즘에 집중하고 있습니다. 이란의 Nimbus Manticore 그룹은 채용 공고로 위장한 Node.js 및 JavaScript 악성코드를 macOS 및 Linux 시스템에 배포하고 있으며, ClickFix는 사용자 상호 작용을 악용하여 스캔 방어 체계를 완전히 우회하는 기술을 사용합니다.
동시에 인프라 취약성 관리는 여전히 주요 노출 지점입니다. 약 22,000대의 Microsoft Exchange 서버가 사서함 전체 손상에 취약한 상태로 남아 있어 기본적인 경계 보안 유지가 알려진 위협 벡터에 비해 여전히 미흡함을 보여줍니다.
약 22,000대의 마이크로소프트 익스체인지 서버가 해킹 공격에 취약한 것으로 나타났습니다.
온라인에 노출된 약 22,000대의 마이크로소프트 익스체인지 서버가 심각한 인증 우회 취약점에 대한 패치가 적용되지 않은 채 방치되어 있어 공격자가 모든 사용자 사서함을 탈취할 수 있습니다.
- 중요한 이유
- 패치가 적용되지 않은 Exchange 서버를 운영하는 조직은 이메일 시스템 전체 손상, 데이터 유출 및 기업 네트워크 전반에 걸친 횡적 이동의 위험에 즉시 직면하게 됩니다.
- 대응 방법
- 인증 우회 취약점을 해결하기 위해 Microsoft Exchange 서버에 즉시 패치를 적용했습니다.
이란 해커들이 채용 담당자로 위장하여 코딩 테스트를 통해 크로스 플랫폼 원격 접속 트로이목마(RAT)를 유포했습니다.
이란의 님버스 맨티코어 해킹 그룹이 이전에 보고되지 않았던 두 가지 악성코드 계열을 사용한 것으로 밝혀졌는데, 이는 해당 그룹의 도구 세트가 지속적으로 진화하고 있음을 보여주며, 노드(Node.js)를 사용하여 개발한 크로스 플랫폼 원격 접속 트로이목마(RAT)를 이용해 리눅스 및 애플 macOS 시스템까지 감염시키는 방향으로 공격 범위를 확장하고 있음을 시사합니다.
위협 행위자들은 더 정교한 공격을 원하는 것이 아니라, 반복 가능한 공격을 원합니다.
위협 행위자들은 단순하고 반복 가능한 공격 방식을 선호하는 경향이 강해지고 있습니다. 마이크로소프트는 클릭픽스(ClickFix) 소셜 엔지니어링(사용자를 속여 터미널을 통해 클립보드 명령을 실행하게 하는 방식)이 초기 접근 공격의 47%를 차지했다고 보고했으며, 비트디펜더(Bitdefender)는 심각도가 높은 공격의 84%가 '리빙 오프 더 랜드(living-off-the-land)' 기법을 악용한 것으로 나타났다고 밝혔습니다.
- 중요한 이유
- 공격은 맞춤형 악성코드나 소프트웨어 취약점을 이용하는 대신 사용자 행동과 정상적인 시스템 바이너리를 이용하기 때문에 기존 보안 도구를 우회하는 경우가 점점 늘어나고 있습니다.
공격자들이 METR API 키를 탈취하고 약 60만 달러 상당의 AI 크레딧을 소모했습니다.
profit METR은 2026년에 두 건의 보안 사고를 공개했습니다. 3월에는 공격자들이 추론 API 키를 탈취하여 약 60만 달러 상당의 AI 크레딧을 사용했습니다. 5월에는 공격자들이 공공 인프라를 체계적으로 탐색하고 노출된 엔드포인트를 악용하려 시도했습니다.
- 중요한 이유
- 노출된 API 자격 증명과 잘못 구성된 공용 엔드포인트는 내부 데이터가 손상되지 않았더라도 리소스 남용으로 인해 막대한 재정적 손실을 초래할 수 있습니다.
미국에서 ATM 잭팟 공격을 감행한 베네수엘라인 5명이 유죄를 인정했습니다.
미국에서 베네수엘라 국적자 5명이 현금자동입출기(ATM)에서 현금을 인출하기 위해 악성 소프트웨어를 사용하는 공격을 실행한 혐의로 유죄를 인정했습니다.
핵심 요약
- Nimbus Manticore는 NodeRabbit 및 PollCat 악성코드가 포함된 트로이목마화된 코딩 테스트를 사용하여 macOS 및 Linux 플랫폼을 공격합니다.
- 약 22,000대의 마이크로소프트 익스체인지 서버가 인증 우회 취약점에 대한 패치가 적용되지 않은 채 남아 있어 사서함이 손상될 수 있습니다.
- 마이크로소프트는 작년에 ClickFix 소셜 엔지니어링이 가장 흔한 초기 접근 경로였으며, 전체 알림의 47%를 차지했다고 밝혔습니다.
- 공격자들이 인공지능 연구 비영리 단체인 METR의 API 키를 탈취하여 약 60만 달러 상당의 추론 크레딧을 사용했습니다.