2026년 10월 동향 보고서

CloudSyncD macOS 백도어

CloudSyncD는 Zoom 설치 프로그램으로 위장한 디스크 이미지를 통해 macOS 사용자에게 Gatekeeper 경고를 직접 우회하고 관리자 비밀번호를 입력하도록 유도했다. 가짜 인증 창은 입력값을 로컬 계정 정보와 대조해 검증했으며, 검증된 비밀번호는 외부로 전송되지 않고 내장된 2단계 Mach-O 페이로드를 sudo로 실행하는 데 사용됐다. 비밀번호는 일반 설정 파일의 캐시 값처럼 보이는 데이터에 인코딩됐고, 제로폭 유니코드 문자가 임의 패딩 안에서 실제 값의 위치와 길이를 복원하는 정보로 쓰였다.

드로퍼는 내장 페이로드를 메모리에서 실행하려다 macOS 보호 기능에 막히면 임시 파일로 기록한 뒤 관리자 권한으로 실행했다. 두 번째 단계는 Intel과 Apple silicon 환경에서 하드웨어 식별자, 운영체제, 호스트명, 사용자와 네트워크 정보를 수집해 암호화된 통신으로 전송하고, 원격 작업에 따라 실행 파일이나 압축 아카이브를 받아 실행할 수 있었다. Jamf Threat Labs는 개발 단계 표본을 확인한 뒤 이틀 안에 실제 명령제어 인프라를 사용하도록 구성된 관련 빌드를 관측했다. 다만 시험 환경에서는 LaunchAgent나 LaunchDaemon을 이용한 지속성, 브라우저 데이터와 Keychain 또는 암호화폐 지갑을 탈취하는 기능은 확인되지 않았다.

npm 공급망의 자격증명 탈취와 자기 확산

Shai-Hulud는 감염된 유지관리자의 npm 게시 자격증명을 수집하고 피해자가 게시할 수 있는 다른 패키지를 식별해 악성 릴리스를 다시 게시하는 방식으로 확산했다. ChainDrop 흐름은 난독화된 설치 전 훅으로 자격증명 수집기를 실행하고, 개발자 워크스테이션과 빌드 실행기에서 npm 및 GitHub 토큰, 클라우드와 Kubernetes 자격증명, SSH 키, 환경 파일과 AI 개발 도구 설정을 수집 대상으로 삼았다. 일부 구성은 블록체인 거래 조회를 통해 명령제어 정보를 갱신하고 프로젝트 열기나 AI 코딩 세션 시작 시 실행되는 작업 훅을 삽입했다.

Tensorlake 공식 TypeScript SDK의 악성 릴리스도 이 계열의 확산 방식과 연결됐다. 공격자는 주 브랜치를 변경한 뒤 정상 GitHub Actions 배포 파이프라인과 유효한 빌드 출처 증명을 거쳐 악성 결과물이 게시되도록 했다. 설치 전 훅에서 실행된 로더와 페이로드는 CI 환경을 확인하고 자격증명과 로컬 비밀정보를 수집했으며, 피해자가 관리하는 다른 패키지로 자신을 재게시하고 탈취 데이터를 보관할 저장소를 만들려 했다. 변종에는 브라우저 저장소의 쿠키와 자격증명, 암호화폐 확장 프로그램 관련 데이터를 추가로 수집하려는 기능과 탈취 토큰 폐기 시 공격자 제공 처리를 실행하는 구성도 포함됐다.

FortiBleed 초기 접근 브로커 활동

FortiBleed 운영자는 인터넷에 노출된 Fortinet FortiGate 방화벽과 SSL VPN 게이트웨이를 자동으로 탐색하고, 과거 유출 자료와 인포스틸러 로그에서 확보한 자격증명을 이용해 자격증명 스터핑과 비밀번호 스프레이를 수행했다. 침해 장비에서는 비밀번호 해시, 사용자 데이터베이스와 세션 토큰을 수집했으며, 레거시 방식으로 저장된 해시는 분산 GPU 환경에서 오프라인으로 해독해 작동 가능한 계정을 선별했다. FBI와 미국 비밀경호국은 194개국에서 8만6,644개 이상의 유효 장치 자격증명이 공격자의 검증된 접근 목록에 포함된 것으로 추정했다.

인증에 성공한 뒤에는 새 방화벽 관리자 계정을 만들어 접근을 유지하고, 기존 관리자 계정을 삭제하거나 비밀번호를 바꿔 방어 측이 장비에 접근하지 못하게 했다. 이어 Active Directory 계정과 권한 사용자를 열거하고 추가 비밀번호 스프레이, Kerberos와 SMB 인증을 통해 더 높은 권한의 계정과 내부 접근 가능성을 확인했다. 일부 활동에서는 네트워크 공유의 민감 데이터 유출도 제시됐다.

확보된 VPN 설정과 표적 목록은 다른 사이버 범죄자에게 판매할 수 있는 접근 정보로 묶였다. FBI와 미국 비밀경호국은 이 활동을 초기 접근 브로커 작전으로 설명했으며, INC와 Lynx 및 Payload 랜섬웨어 활동과의 연계 또는 운영자 중첩 가능성을 제시했다.

Canto Incognito 채굴 봇넷

Canto Incognito 캠페인은 인터넷에 노출된 AI, LLM과 기업용 서비스 배포 환경에 PoeLLM 악성코드를 설치하고 XMRig와 Iron 채굴기로 서버의 연산 자원을 가상자산 채굴에 사용했다. 활동은 2026년 4월부터 이어졌으며 3,400대 이상의 서버가 감염된 것으로 제시됐다. 표적에는 LiteLLM, Gotenberg, Gitea와 Ivanti Sentry 배포 환경이 포함됐다.

PoeLLM은 공격자가 작성한 시의 단어를 이용해 명령제어 위치를 도출하는 방식으로 통신 인프라를 숨겼다. 감염 서버 일부는 인터넷 스캐너와 익스플로잇 서버로 전환돼 유사하게 노출된 서비스를 찾고, HTTP POST 요청을 통해 추가 악성코드 다운로드를 유도했다. Lumen Black Lotus Labs는 이탈리아어 흔적과 네트워크 흐름을 근거로 이탈리아어 사용 위협 행위자와의 연계를 중간 수준으로 평가했다. SSH와 로그인 포털을 향한 최근 트래픽은 분산 무차별 대입 기능을 시험했을 가능성을 시사했지만 기능의 성숙도는 불확실했다.

AhsayCBS 취약점 연계 악용

식별되지 않은 공격자들은 외부에 노출된 AhsayCBS 백업 관리 플랫폼의 인증 우회 취약점 CVE-2026-105133과 운영체제 명령 삽입 취약점 CVE-2026-105134를 연계해 인증 없이 명령을 실행했다. Huntress는 실제 악용이 취약점 식별자 공개 뒤 시작됐으며 최소 5개 조직이 영향을 받은 것으로 추정했다. 수정된 것으로 알려진 버전보다 새로운 버전에서도 두 취약점의 영향이 확인돼 당시 패치만으로 해결되지 않은 상태로 설명됐다.

공격자는 악성 복제 수신기를 구성하고 애플리케이션 웹 디렉터리에 JSP 웹셸을 배치해 명령 실행과 접근 경로를 유지했다. 이후 XMRig 채굴기를 Microsoft Edge 프로세스로 위장하고, 변조한 서비스 관리 유틸리티와 가짜 업데이트 서비스를 등록해 재부팅이나 충돌 뒤에도 다시 실행되게 했다. PowerShell 스크립트는 사용자가 작업 관리자를 열면 채굴 서비스를 중지하고 창이 닫히면 재개하거나, 작업 관리자가 장시간 열린 경우 종료하도록 구성돼 채굴 활동의 확인을 방해했다. AhsayCBS가 백업 작업과 저장소, 사용자 계정 및 복제 서비스를 중앙 관리한다는 점에서 침해 범위에는 연결된 백업 관리 기능도 포함될 수 있었다.

ARMORY CASTLE의 BeyondTrust 침해

ARMORY CASTLE 조직은 2026년 8월 말 BeyondTrust Remote Support의 인증 우회 취약점 CVE-2026-102764를 패치 공개 전에 악용해 호스팅형 인스턴스와 자체 호스팅 어플라이언스에 임의 파일을 업로드했다. Mandiant는 후속 도구와 전술이 기존 활동과 일치한다고 평가해 이를 이전에 UNC5221로 추적했던 중국 연계 추정 첩보 행위자에게 귀속했다. 공개된 침해 사례는 호스팅형 인스턴스 1건과 자체 호스팅 어플라이언스 1건이었다.

침해 후에는 난독화된 PHP 웹셸 SAWFLY가 배포돼 암호화된 양방향 명령제어 통신과 원격 PHP 코드 실행을 지원했다. 공격자는 SUID 권한이 설정된 셸을 이용해 루트 권한을 획득하고, BeyondTrust 비밀 관리 기능에서 비밀번호, API 키와 엔드포인트 자격증명을 추출하려 했다. 부팅 시 적용되는 구성 템플릿과 시작 스크립트도 변경해 서비스 계정에 비밀번호 없는 관리자 권한이 유지되도록 했으며, 시스템과 웹 서버, 애플리케이션 및 비밀 저장소 접근 로그를 삭제했다.

탈취한 관리자 권한은 Jump Item과 팀 권한을 높이고 내부 엔드포인트에 원격 지원 세션을 여는 데 사용됐다. 공격자는 세션의 파일 전송 기능으로 내부 문서와 소프트웨어 인벤토리 정보를 수집하거나 유출했다. BARECLAW는 WebSocket 기반 SOCKS5 프록시 터널을 제공했으며, 역방향 프록시 설정 변경과 결합돼 침해된 어플라이언스를 경유하는 내부 접근 경로를 만들었다. BeyondTrust는 패치를 배포했지만, 패치 적용 전에 인터넷에 노출된 장비에서는 이미 설치된 웹셸, 지속성 구성과 자격증명 노출이 해소됐다고 볼 수 없었다.