2026년 10월 4주차 동향 보고서

PHP2Shell 악용 시도와 Potassium 전달

PHP 런타임의 두 메모리 관리 취약점은 조작된 HTTP 요청을 통해 인증되지 않은 공격자가 웹 서버 권한으로 코드를 실행할 수 있게 한다. 공개 PoC 이후 인터넷 노출 서비스를 대상으로 스캔, 세션 업로드 진행 상태를 이용한 탐색, 세션 오염과 로컬 파일 포함, 출력 표식 삽입, 운영체제 명령 실행 검증이 관측됐다. 두 취약점은 Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed 구성에 영향을 주지만, 공개 PoC 가운데 일부는 흔치 않은 설정에 의존하거나 정상 작동하지 않았다. 기본 mod_php 환경에서 동작이 검증된 사례도 PHP-FPM 환경에는 그대로 적용되지 않았다.

일부 요청은 호스트와 실행 계정 정보를 확인한 뒤 Mirai 계열로 추정되는 Potassium 페이로드를 전달하려 했다. 관련 바이너리는 ARM과 x86-64 환경을 대상으로 하며 추가 파일 다운로드와 여러 방식의 네트워크 플러드 기능을 포함했다. 그러나 관측된 요청과 차단 사례만으로 대상 시스템에서 코드 실행이나 페이로드 다운로드가 성공했다고 확인할 수 없고, 실제 침해나 웹셸 설치도 확인되지 않았다. 따라서 대규모 스캔과 공격 시도의 존재와 성공한 침해는 구분해야 한다.

SafePay 랜섬웨어의 침투와 복구 방해

미국 정부 기관과 공동 작성 기관들은 SafePay가 2024년 8월 이후 여러 대륙의 기업과 핵심 인프라를 침해했으며 최소 600개 피해 조직이 발생했다고 밝혔다. 공격자는 탈취하거나 추측한 자격증명, 피싱 계정, VPN 접근 권한, 인터넷 노출 장비의 알려진 취약점을 초기 접근에 사용했다. 침투 후 기존 계정의 관리자 권한을 확보하거나 새 계정을 만들고, PsExec, WinRM, RDP, PowerShell 등 정상 관리 기능과 원격 접근 도구를 이용해 명령 실행과 측면이동을 수행했다.

SafePay는 네트워크 공유와 자격증명을 탐색하고 보안 소프트웨어를 무력화한 뒤, 수집한 파일을 압축해 외부 계정이나 웹 서비스로 유출하는 이중 갈취 방식을 사용한다. 이어 볼륨 섀도 복사본 서비스를 중지하거나 복사본을 삭제하고, 네트워크 연결 스토리지를 초기화해 복구를 방해한 다음 ChaCha20과 RSA를 결합한 방식으로 파일을 암호화한다. 공개 유출 목록은 몸값을 내지 않은 피해자를 중심으로 하므로 전체 침해와 갈취 시도 규모를 모두 나타내지는 않을 수 있다.

BlackX UEFI 부트킷

2026년 10월 4주차에 공개된 연구는 2026년 초 타지키스탄, 우즈베키스탄, 투르크메니스탄의 외교 기관을 겨냥한 첩보 활동에서 BlackX UEFI 부트킷이 사용됐다고 밝혔다. 공격자는 확인되지 않은 방식으로 피해 네트워크에 진입해 관리자 권한을 확보한 뒤 Baton Drop 취약점을 악용했다. 사용자 지정 Machine Owner Key를 등록하고 공격자가 통제하는 EFI 파일을 로드함으로써 Secure Boot 보호를 우회했으며, 운영체제 보안 업데이트가 적용된 시스템에서도 Secure Boot 인증서 폐기 상태가 갱신되지 않은 경우 취약한 UEFI 구성 요소를 계속 사용할 수 있었다.

BlackX는 Windows 커널에 악성 드라이버를 주입해 보안 제품과 관련된 프로세스, 스레드 및 레지스트리 콜백과 ETW 공급자의 동작을 방해하려 했다. 부트킷 파일에 대한 접근 요청에는 정상 프로그램의 핸들을 반환해 파일을 보호하는 동작도 포함됐다. 이후 클라우드 저장소를 명령제어 통신에 사용하는 원격 접근 구성요소와 OxiDLLRunner를 배포해 .NET 코드, 암호화된 Rust 페이로드와 플러그인을 실행하고 시스템 정보 수집과 파일 송수신을 지원했다. 다만 특정 보안 제품을 겨냥한 변조 루틴은 시험 환경에서 해당 제품을 방해하지 못했다.

연구진은 기술적 중첩과 코드 문자열, 이전 활동과의 연관성을 바탕으로 이 작전을 APT41에 중간 신뢰도로 귀속했다. BlackX가 BlackLotus를 역공학했거나 관련 소스 코드를 확보해 제작됐을 가능성도 제시됐지만 확정되지는 않았다.

Hookedge를 이용한 NATO 관련 조직 침투

2026년 10월 4주차에 공개된 조사 결과에 따르면 APT28 또는 Swallowtail로 추적되는 조직은 NATO 회원국 두 곳의 해군 조선소, 군용 항공기 엔진 제조사와 법집행 기관을 표적으로 삼았다. Symantec은 이 활동을 러시아 군사정보기관과 연계된 APT28에 귀속했으며, 표적 선정이 유럽 정부 및 방위 관련 조직을 겨냥한 정보 수집 활동과 일치한다고 평가했다. 해군 조선소에서는 직원이 2026년 7월 매크로가 포함된 Word 첨부파일을 열면서 Hookedge 백도어가 설치됐고, 확인된 악성 활동은 9월까지 최소 두 달 동안 이어졌다.

Hookedge는 화면 밖에서 실행되는 Microsoft Edge 인스턴스와 공개 웹 서비스를 HTTP 통신 수단으로 사용해 작업을 받고 결과를 전송했다. 공격자는 이후 전용 명령제어 인프라로 전환해 대화형 명령을 실행하고 시스템, 파일, 계정, 그룹, 실행 프로세스, 설치된 업데이트와 내부 호스트를 조사했다. 감염 호스트에는 SSH 개인 키를 배치해 지속적인 역방향 SSH 터널을 만들고 이를 통해 내부망을 탐색했으며, 별도 PowerShell 스크립트로 로컬 NTLM 인증 응답 수집도 시도했다. 암호화된 페이로드를 메모리에서 복호화해 실행하는 로더도 사용됐지만, 관측된 로더 활동이 새로운 공격 행위인지 예약된 작업의 반복 실행인지는 확인되지 않았다.

Plex2Shell 실제 악용

Plex Media Server의 취약점 네 건을 결합한 Plex2Shell은 유효한 자격증명 없이 Plex 서비스 권한으로 임의 코드를 실행할 수 있으며, 공개 PoC가 나온 뒤 하루 안에 Linux 기반 Docker 허니팟에서 실제 악용이 관측됐다. 공격자는 XMRig 기반 암호화폐 채굴기와 외부 인터넷 트래픽을 중계하는 프록시 프로그램을 배포했다. 프록시는 침해된 서버의 인터넷 연결을 경유지로 사용할 수 있지만, 이 활동을 특정 공격자나 봇넷에 연결할 근거는 확인되지 않았다.

공격 체인은 서버 측 요청 위조로 내부 기능에 접근하고 소유자 권한 요청과 관리자 토큰을 확보한 뒤, 공격자가 지정한 위치에 공유 객체 파일을 쓴다. 마지막 단계에서는 트랜스코딩 설정과 서명되지 않은 코덱의 공유 라이브러리 로드 방식을 악용해 해당 파일을 Plex 서비스 계정으로 실행한다. 이 체인은 Linux와 Windows 환경을 지원한다. Plex는 공개 PoC가 나오기 전에 관련 취약점을 수정한 버전을 배포했다.

Mac의 XMRig 채굴 활동

한 개발자는 Mac에서 XMRig 프로세스가 비정상적으로 높은 CPU 사용률을 보이며 실행된 사례를 공개했다. 온도 모니터링 애플리케이션을 개발하던 중 높은 센서 값과 실행 프로세스를 확인해 채굴 의심 활동을 식별했으며, XMRig는 임시 디렉터리에서 실행된 것으로 전해졌다.

제시된 화면에는 인코딩된 스크립트를 실행하는 macOS LaunchAgent 항목과 KeepAlive 설정이 포함됐다. 이 구성이 실제 적용됐다면 로그인 시 자동 실행되고 채굴 프로세스가 종료된 뒤에도 다시 시작될 수 있다. 사용자는 시작 항목과 프로세스를 중지하고 격리했으나 일부 파일은 수동으로 삭제해야 했다고 밝혔다. 최초 침투 경로, 특정 설치 파일과 위협 행위자는 확인되지 않았고, 계정 자격증명 노출 가능성은 제기됐지만 비밀번호, 토큰 또는 소스 코드가 실제 탈취됐다는 증거도 제시되지 않았다.

GhostAction 저장소와 개발자 환경 침해

2026년 10월 4주차에 공개된 조사 결과는 GhostAction이 2026년 10월 9일까지 탈취한 오픈소스 유지관리자 계정으로 저장소 기본 브랜치에 악성 GitHub Actions 워크플로를 직접 삽입했다고 밝혔다. 이 워크플로는 코드 푸시나 수동 실행을 계기로 CI/CD 환경의 비밀정보를 수집하며, 저장소의 현재 파일뿐 아니라 전체 Git 이력에서 자격증명 형식의 문자열을 검색해 과거에 삭제된 정보까지 대상으로 삼았다. 수집 대상에는 클라우드 자격증명, 패키지 배포 토큰과 AI 서비스 키가 포함됐고, 정보는 암호화되지 않은 HTTP로 외부 수집 서버에 전송됐다.

공개 조사에서는 악성 워크플로가 삽입된 저장소 790곳이 복구되고 검증됐지만, 이 수치가 모든 저장소의 자격증명 유출이나 후속 악용을 의미하지는 않는다. 일부 워크플로의 실행과 수집 서버 도달은 확인됐다. 공격자는 GitHub가 워크플로 실행을 차단한 뒤 개발자 환경에 남는 2단계 구성요소도 추가했으며, 이 구성요소는 66개 소유자의 침해 저장소 94곳에서 확인됐다.

유지관리자를 겨냥한 피싱은 GitHub 보안 경고를 사칭했으며, 역방향 프록시 기반 가짜 로그인 페이지로 비밀번호와 이중 인증 코드를 수집했다. 이어 피해자 세션에서 OAuth 애플리케이션 승인을 자동화해 저장소와 워크플로를 변경할 수 있는 토큰을 탈취했다. 개발자 환경에서는 VS Code 폴더 열기 트리거와 글꼴 파일로 위장한 스틸러가 클라우드 키, 패키지 저장소 토큰, Git 및 Kubernetes 자격증명, SSH 개인 키와 AI 제공자 자격증명을 수집했고, cron 작업은 공격자 코드를 반복 실행하도록 구성됐다.