2026년 11월 1주차 동향 보고서

VAPOR PANDA의 ARTEX 활용

VAPOR PANDA는 11일 동안 최소 14개국의 200곳이 넘는 조직을 대상으로 ARTEX 에이전트 프레임워크와 언어 모델을 사용했다. 정부기관과 통신사업자, 제약, 반도체, 방위산업, 원자력, 금융 분야가 표적에 포함됐으며, CrowdStrike는 9개 조직에서 침해 후 활동과 BLOODALCHEMY 백도어 배포를 확인했다. 미국 싱크탱크와 유럽 정부기관 등을 겨냥한 비밀번호 스프레이도 관측됐다.

ARTEX의 주 에이전트와 하위 에이전트는 정찰, 취약점 악용, 웹셸 배포, 자격증명 확보와 대체 침투 경로 탐색을 병렬로 수행하고 결과에 따라 다음 작업을 선택했다. 인간 운영자는 중국어로 지시하고 주요 의사결정 시점에 개입했다. 한 제약사 침해에서는 서명되지 않은 SAML assertion과 XML 처리 취약점을 결합해 클라우드 인스턴스 메타데이터에 접근한 뒤 기업 관리자 권한을 확보했다. 그리스 정부기관에서는 과거 메일 서버 내보내기 파일에 남아 있던 인증 키로 관리자 토큰을 위조해 사서함을 열람하고 내부망에 접근했다. 또한 방어 제품이 설치되지 않은 Windows 시스템을 찾도록 지시하는 등 방어 회피 시도도 관측됐다.

XCPE 펌웨어 백도어와 봇넷 차단

Android 기반 기기의 펌웨어에 사전 탑재된 XCPE 백도어는 Android TV 셋톱박스를 중심으로 130만 대가 넘는 기기를 봇넷에 편입했다. Google은 Videostrong Technology가 금전적 이익을 위해 백도어를 의도적으로 개발, 배포, 운영했다고 높은 확신으로 평가했다. 감염은 원격 의료 기기, 노래방 기기와 디지털 사이니지 등 다른 Android 기반 기기에서도 확인됐다.

XCPE는 시스템 권한으로 실행되며 사용자가 패키지를 제거해도 재부팅하면 보호된 OEM 파티션에서 다시 설치됐다. 일부 변종은 Android Debug Bridge를 루트 권한으로 재시작한 뒤 시스템 파티션에 자신을 복사했다. 운영자는 HTTP로 초기 설정을 전달하고 MQTT로 지속적인 명령 통신을 유지하면서 애플리케이션 설치, 셸 명령과 스크립트 실행, 화면 캡처, 키 입력 주입, 네트워크 정찰, 계정 및 기기 정보와 로그 수집을 수행할 수 있었다. Google Play Protect 비활성화와 사용자 동의 기록 변경도 지원됐다.

Videostrong은 범죄 제휴자에게 감염 기기 접근 권한을 판매하고 광고 사기, 주거용 프록시와 추가 악성코드 모듈을 배포한 것으로 제시됐다. 이에 따라 기기는 외부 트래픽을 중계하는 주거용 프록시 출구로 사용되거나 숨겨진 광고 조회를 생성하고 추가 백도어를 설치하는 데 활용됐다. Google과 협력 기관은 XCPE 및 제휴 악성코드 계열의 제어 인프라를 차단했으며, 이 조치로 XCPE 감염 규모와 별도로 최소 1천만 대의 추가 감염 기기에 대한 접근도 끊길 것으로 추산했다. 다만 인프라 차단만으로 기기에 남은 백도어가 제거되는 것은 아니다. Google은 Videostrong과의 관계를 종료하고 인증 Android 기기 공급에서 배제했으며 펌웨어 검토와 무결성 검증 절차를 개선했다.

APT29 연계 모바일 워터링홀

Sekoia는 미국, 우크라이나, 체코, 불가리아의 침해된 웹사이트와 정상 포털을 사칭한 사이트, 우크라이나 웹 분석 서비스 변조를 결합한 모바일 워터링홀 작전을 APT29와 중간에서 높은 신뢰도로 연계했다. 이 평가는 과거 활동과의 프레임워크 및 전술 유사성, 인프라 패턴과 피해자 분포에 근거했다. 침해된 웹 분석 스크립트는 다수의 정상 웹사이트를 통해 방문자 프로파일링 코드를 전달했으며, 일부 사칭 사이트는 정상 콘텐츠를 중계하는 중간자 방식으로 운영됐다.

주입된 JavaScript는 방문자의 브라우저와 기기 구성을 수집해 조건에 맞는 모바일 기기에만 사용자 상호작용 없이 운영체제별 취약점 체인을 전달했다. iOS 체인은 DarkSword 기반 코드를 사용해 브라우저 쿠키, 메시지와 메신저 데이터베이스, Keychain의 인증정보, 연락처, 통화 기록, 위치 정보, 사진과 클라우드 저장 파일을 수집했다. Android 체인은 Chrome 렌더러 코드 실행과 샌드박스 탈출을 거쳐 AndroSnitch를 실행하고 Chrome 쿠키, 저장된 로그인 정보, 방문 기록과 Wi-Fi 자격증명을 복사했다.

확인된 체인은 모두 제조사가 이미 수정한 취약점을 악용했으므로 최신 운영체제와 브라우저가 적용된 기기는 해당 공격 흐름의 대상이 아니었다. 페이로드는 지속성을 확보하지 않았고, 감염 기기를 재부팅하면 악성 활동이 중단됐다.

Gorbag의 우크라이나 정보 수집

2026년 11월 1주차에는 Gorbag이 2025년 2월부터 우크라이나의 법집행기관, 사법기관, 전선과 러시아 국경 인근 지방 행정기관, 국방 조직과 해외 군사 지원 수송 거점을 표적으로 문서와 자격증명을 수집해 온 활동이 공개됐다. ESET은 이러한 표적 선정이 러시아의 전시 정보 수집 우선순위와 부합한다고 평가했다. 활동은 CERT-UA가 UAC-0226으로 추적한 GIFTEDCROOK 관련 클러스터와 중첩되는 것으로 제시됐다.

2025년에는 행정 벌금과 세금 고지서를 사칭한 스피어피싱 메일과 매크로 포함 Excel 첨부파일로 BeautyStealer를 실행했다. 2026년 초부터는 WinRAR의 경로 탐색 취약점을 악용하는 RAR 첨부파일로 전환했다. 이 방식은 미끼 PDF를 표시하는 동시에 PowerShell 로더와 암호화된 페이로드, 악성 바로가기를 시작 프로그램 폴더에 배치해 사용자 로그온이나 시스템 재시작 때 다음 단계를 실행했다. 해당 취약점은 수정본이 공개된 뒤에도 계속 악용됐다.

BeautyStealer는 주요 웹 브라우저의 쿠키와 저장된 비밀번호, OpenVPN 구성, KeePass 데이터베이스, 원격 데스크톱 구성, 전자서명 키 파일과 선별 문서를 수집했다. 로컬 저장장치뿐 아니라 이동식 매체와 연결된 네트워크 드라이브도 검색했으며, 수집물을 압축해 Telegram API 또는 별도 공격자 인프라로 전송한 뒤 자기 삭제를 시도했다. ESET은 Gorbag이 탈취한 자격증명을 다른 행위자에게 넘기는 초기 접근 브로커일 가능성도 평가했지만 후속 공격 단계는 관측하지 못했다.

DarkBlinders의 정부 클라우드 침해

2026년 11월 1주차에는 DarkBlinders가 2026년 8월부터 10월까지 이스라엘 보안 분야 고위 인사와 이라크 쿠르드 지역 정부의 클라우드 환경을 침해한 것으로 알려진 활동이 공개됐으며, 공개 시점에도 활동이 계속된 것으로 전해졌다. 정부 환경에서는 자격증명 탈취와 최소 1GB의 데이터 유출이 확인됐다. Dream Research Labs는 이 조직을 이란 연계 활동 주체로 설명하고, 인프라와 악성코드 중첩을 근거로 UNC5795 및 Dust Specter와 같은 작전 클러스터에 속한다고 중간에서 높은 수준으로 평가했다. APT34와의 관계는 중간 수준의 가능성으로만 제시됐다.

공격자는 정부기관과 웹메일, 클라우드 서비스를 사칭한 로그인 페이지로 자격증명을 수집하고, 채용 제안과 코딩 과제를 미끼로 트로이 목마화된 Visual Studio 프로젝트 압축 파일을 실행하도록 유도했다. 악성 C# 프로젝트는 AppDomainManager injection과 DLL 사이드로딩을 거쳐 ShelbyLoader V2, SHELBYC2 백도어와 Blackwood 터널링 도구를 실행했다.

StarkMeet 화상회의 앱으로 위장한 흐름에서는 실제 회의 기능을 제공하지 않는 프로그램이 서명된 실행 파일을 이용해 악성 DLL을 로드하고 레지스트리 자동 실행으로 지속성을 확보했다. 감염 시스템 정보를 수집한 뒤 운영자가 선택한 호스트에만 2단계 임플란트를 전달했으며, 이 페이로드는 메모리에서 실행되고 GitHub 저장소를 경유해 명령을 수신했다. 파일 업로드와 다운로드, 압축 해제와 PowerShell 실행 기능도 제공됐다.

Zyxel GS1900 제로데이 악용

2026년 11월 1주차에는 Kapibala로 지칭된 조직이 8월경 Zyxel GS1900 스위치의 제로데이 취약점을 악용해 48개국의 장치 996대를 침해하고 구성 파일, 해시된 루트 자격증명과 네트워크 정보를 수집한 사실이 공개됐다. 초기에는 기존 취약점 악용으로 분류됐지만, 이전 수정본이 적용된 펌웨어에서도 별도의 결함이 악용된 사실이 확인됐다.

취약점은 웹 관리 프로그램이 고정된 메모리 영역에 요청 값을 복사한 뒤 매개변수 개수를 검사하는 순서에서 발생했다. 인증되지 않은 공격자는 긴 요청 값으로 카운터를 손상시키고 함수 포인터가 있는 메모리를 덮어써 운영체제 명령을 실행할 수 있었다. 공격자는 난독화된 Python 스크립트로 수집기를 내려받고 탈취 데이터를 웹에서 접근 가능한 폴더에 저장했다. 공유 서버와 악성코드 근거는 이 활동을 Red Heron으로 불린 Gitea 캠페인과 연결했으며, JITTERLY 백도어와 파일, 프로세스, 네트워크 연결을 숨기는 SIXZUT 루트킷도 사용된 것으로 제시됐다. Zyxel은 10월에 복사 전 카운터 검증과 매개변수 길이 제한을 추가한 펌웨어 수정본을 공개했다.