악명 높은 사이버 범죄 조직인 Scattered Spider(스캐터드 스파이더)는 북미의 소매, 항공, 운송 분야를 표적으로 VMware ESXi 하이퍼바이저 공격을 수행하고 있다. 한 사이버 보안 연구팀은 “이 조직의 주요 전술은 일관성을 유지하며 소프트웨어 익스플로잇에 의존하지 않는다. 대신, IT 헬프데스크에 전화하는 것을 중심으로 하는 입증된 시나리오를 사용한다” “행위자들은 공격적이고 창의적이며, 특히 성숙한 보안 프로그램까지 우회할 수 있을 정도로 사회공학에 뛰어난 능력을 보였다. 이들의 공격은 기회주의적이 아니라, 조직의 가장 핵심 시스템과 데이터를 목표로 삼는 정밀하고 캠페인 기반의 작전이다.”라고 상세 분석에서 밝혔다. 0ktapus, Muddled Libra, Octo Tempest, UNC3944 등으로도 불리는 이 위협 행위자들은 고도화된 사회공학 공격으로 피해 조직에 초기 접근을 얻은 다음, 신뢰받는 관리 시스템을 조작하고 Active Directory 권한을 통해 VMware vSphere 환경으로 옮겨가는 “living-off-the-land (LotL)” 접근법을 사용한 전력이 있다. 연구팀은 이 방법이 데이터 탈취 및 랜섬웨어 배포 경로를 하이퍼바이저에서 직접 제공하므로 “매우 효과적”이며, 보안 도구를 우회하고 침해 흔적을 거의 남기지 않는다고 설명했다. [그림1. Ransomware Attack Chain] “NCC 그룹”은 “이 그룹이 사회공학을 대량으로 사용할 때 반복되는 패턴이 드러나는데, 특히 합법적인 회사 인프라나 로그인 포털을 흉내낸 도메인을 등록하는 방식에서 그렇다”고 지적했다. 이들이 자주 사용하는 작명 예시는 다음과 같다: -victimname-sso[.]com -victimname-okta[.]com -victimname-servicedesk[.]com -sso-victimname[.]com -servicenow-victimname[.]com 공격 체인은 다음과 같이 5가지 뚜렷한 단계를 따른다. 최초 침해, 정찰, 권한 상승 단계에서, IT 문서, 지원 가이드, 조직도, vSphere 관리자 정보 등을 수집하고, HashiCorp Vault 등 비밀번호 관리자, 또는 기타 Privileged Access Management(PAM) 솔루션에서 자격 증명까지 열거한다.  공격자는 회사 IT 헬프데스크에 추가 전화를 걸어 고가치 관리자를 사칭하고, 계정 비밀번호 재설정을 요청해 계정 통제권을 확보했다. Active Directory를 맵핑해 vSphere 자격 증명으로 전환, VMware vCenter Server Appliance(vCSA)에 접근한다. 이후 teleport 명령이 실행돼 방화벽 규칙을 우회하는 영구적·암호화된 리버스 쉘을 만든다. ESXi 호스트에 SSH 연결을 활성화 및 root 비밀번호를 재설정한 뒤, “디스크 스왑(disk-swap)” 공격으로 NTDS.dit Active Directory 데이터Base를 추출한다. 이는 도메인 컨트롤러(DC) 가상머신을 종료하고, 디스크를 떼어내 공격자가 통제하는 모니터링되지 않은 VM에 연결, NTDS.dit을 복사한 후 원래 상태로 돌리고 DC를 다시 켜는 방식이다. 접근 권한을 무기화하여 백업 작업, 스냅샷, 저장소를 삭제해 복구를 방해한다. SSH 접근을 통해 ESXi 호스트에 자신들만의 랜섬웨어 바이너리를 SCP/SFTP 방식으로 밀어넣어 배포한다. “UNC3944의 공격 시나리오는 EDR 기반 위협 탐지에서 벗어나, 인프라 중심 방어라는 근본적인 전략 전환이 필요하다.  이 위협은 전통적 윈도우 랜섬웨어와 달리 빠른 속도, 은닉성이 두드러진다”고 연구팀은 밝혔다. 연구팀은 이들의 “극도의 속도”도 주목했다. 최초 접근에서 데이터 탈취, 최종 랜섬웨어 배포까지 모든 감염 시퀀스가 몇 시간 안에 이뤄질 수 있기 때문이다. Palo Alto Networks Unit 42에 따르면 Scattered Spider 행위자들은 사회공학뿐 아니라 DragonForce(=Slippery Scorpius) 랜섬웨어 집단과 협업했고, 한 사례에서는 2일 동안 100GB 이상 데이터를 유출한 것으로 드러났다. 이에 대응하기 위한 3단계 보호책이 권고된다. 1. vSphere 락다운 모드 활성화, execInstalledOnly 적용, vSphere VM 암호화, 오래된 VM 폐기, 헬프데스크 보안 강화 2. 피싱 저항 MFA 구현, 핵심 ID 인프라 분리, 인증 루프 방지 3. 주요 로그 중앙화∙모니터링, 백업을 프로덕션 Active Directory에서 격리, 백업이 침해된 관리자에게 노출되지 않도록 조치 연구팀은 VMware vSphere 7이 2025년 10월 EoL(서비스 종료)에 다다르는 만큼, 시스템 아키텍처를 처음부터 보안 중심으로 설계해 새롭게 구축해야 한다고 권고했다. 연구팀은 “vSphere 인프라(ESXi 호스트와 vCenter Server) 전체를 겨냥한 랜섬웨어는 즉각적이고 광범위한 인프라 마비를 야기할 수 있기 때문에 특별히 심각한 위험을 내포하며, 이들 상호연결된 위험에 선제 대응하지 않으면, 조직은 전체 가상 인프라가 순식간에 마비되어 업무 중단, 재정 손실에 직면하게 된다.”고 말했다. 출처: https://thehackernews.com/2025/07/scattered-spider-hijacks-vmware-esxi-to.html

      사이버보안 연구원들은 인기 있는 Base44 기반 코딩 플랫폼에서 패치된 치명적 보안 취약점 공개되었으며, 이 취약점은 사용자가 만든 사설 애플리케이션에 무단 접근할 수 있게 한다고 발표했다. 연구원은 “우리가 발견한 취약점은 매우 단순하게 악용 가능했다. 비밀이 아닌 app_id 값만 제공하면, 문서화되지 않은 등록 및 이메일 인증 엔드포인트를 통해 공격자가 플랫폼 내 사설 애플리케이션용 검증 계정을 생성할 수 있었다”고 보고서에서 밝혔다. 이 문제로 인해 싱글 사인온(SSO) 보호를 포함한 모든 인증 통제를 우회해, 모든 사설 애플리케이션과 그 안의 데이터에 완전한 접근 권한을 부여할 수 있게 됐다. 책임감 있는 공개 후인 2025년 7월 9일, Base44 소유사인 Wix에서 공식 패치를 24시간 이내에 배포했다. 실제로 악의적 이용 사례는 발견되지 않았다. Base44를 포함한 바이브 코딩 방식은 인공지능(AI)을 활용해 텍스트 프롬프트만 입력하면 애플리케이션 코드를 생성하는 접근법이다.  이번 취약점 발견은 AI 도구가 기업 환경에서 인기를 얻으면서 전통 보안 패러다임으로 충분히 대응하지 못하는 새로운 공격면이 생겼음을 시사한다. Wiz가 발견한 Base44의 결함은 인증 관련 엔드포인트 두 곳이 제한 없이 노출돼 있었다는 설정 오류를 의미한다.  이로 인해 누구나 ‘app_id’ 값만으로 사설 애플리케이션에 등록할 수 있었다. 해당 엔드포인트는 다음과 같다. -api/apps/{app_id}/auth/register : 이메일과 비밀번호 제공으로 신규 사용자 등록에 사용 -api/apps/{app_id}/auth/verify-otp : 일회용 비밀번호(OTP)를 통해 사용자 인증에 사용 흥미롭게도 ‘app_id’ 값은 비밀이 아니며, 앱 URL과 manifest.json 파일 경로에서 확인할 수 있다.  즉, 대상 애플리케이션 ‘app_id’를 활용해 신규 계정을 등록하고 OTP로 이메일 주소까지 인증함으로써, 원래 소유하지 않은 애플리케이션에 접근하는 악용이 가능했다. “메일 주소 확인 후에는 앱 페이지 내 SSO 로그인만 하면 인증을 우회해 접속할 수 있었다.이 취약점은 Base44에 호스팅된 사설 애플리케이션에 무단 접근을 허용했다”고 보안 연구원 Gal Nagli가 밝혔다. 이번 취약점 공개는 최첨단 대형언어모델(LLM)과 생성형 AI(GenAI) 도구들이 탈옥(jailbreak) 또는 프롬프트 인젝션 공격에 노출돼 의도하지 않은 동작(악성 응답, 합성 콘텐츠, 환각, 심지어 올바른 답변 포기) 을 할 수 있다고 경고한 연구 결과와 맞물려 있다.  이런 공격들은 다중 턴 AI 시스템에 위험을 제기한다. 최근 문서화된 일부 공격 사례는 다음과 같다. -‘Gemini CLI’의 컨텍스트 파일 미검증, 프롬프트 인젝션, 오도적 사용자 경험 조합으로 신뢰할 수 없는 코드를 검사할 때 악성 명령이 조용히 실행될 수 있음 -Gmail에 특수 제작된 이메일을 이용, Claude Desktop을 속여 코드 실행을 유발하는 공격 -Echo Chamber와 Crescendo 기법을 활용해 xAI의 Grok 4 모델을 탈옥, 명시적 악성 입력 없이도 모델의 안전장치를 우회해 유해한 응답 유도 -OpenAI ChatGPT를 이용한 윈도우 제품키 추출 추측 게임 -구글 Gemini for Workspace 악용 피싱 메일 생성, HTML/CSS로 숨은 지시문 삽입해 악성 사이트로 유도 -Meta Llama 방화벽 우회해 비영어 언어, leetspeak, 보이지 않는 유니코드 문자 등을 써 프롬프트 인젝션 방어 무력화 -브라우저 에이전트를 속여 자격증명 등 민감 정보 탈취하는 프롬프트 인젝션 “AI 개발 환경이 전에 없이 빠르게 진화하고 있다. 이러한 플랫폼 기반에 보안을 내재화하지 않고서는 기업 데이터 보호와 변혁적 잠재력 실현이 불가능하다”고 Nagli는 강조했다. 책임감 있는 공개는 여러 사이버 보안 연구팀이 최근 Model Control Protocol(MCP) 기반 공격 대응을 위한 ‘독성 흐름 분석(ToXic Flow Analysis, TFA)’을 소개한 시점과도 일치한다. “Invariant Labs는 프롬프트 레벨 보안에만 집중하는 대신 TFA로 AI 시스템 내 공격 시나리오를 미리 예측하고, AI 역량과 오구성 가능성을 깊게 이해해 이를 기반으로 위험을 분석한다”고 밝혔다. 한편 MCP 생태계는 전통적 보안 위험도 포함한다.  인증이나 접근 제어가 없는 인터넷 공개 MCP 서버가 1862대 이상 확인됐다.  이로 인해 데이터 절도, 명령 실행, 피해자의 컴퓨팅 자원 악용으로 인한 클라우드 비용 급등 위험이 존재한다. “공격자는 서버에 저장된 OAuth 토큰, API 키, 데이터Base 자격증명을 찾아내 다른 AI 서비스에 대한 접근 권한도 확보할 수 있다”고 연구원이 전했다.     출처: https://thehackernews.com/2025/07/wiz-uncovers-critical-access-bypass.html

    위협 행위자로 알려진 Patchwork가 방산업체를 겨냥해 전략 정보 수집을 목적으로 하는 새로운 스피어피싱 캠페인을 벌인 것으로 밝혀졌다. 사이버 보안 회사는 이번 주에 발표한 기술 보고서에서 “이 캠페인은 무인 차량 시스템에 관심이 있는 대상자에게 컨퍼런스 초대장으로 위장된 악성 LNK 파일을 보내 다단계 실행 체인을 유포한다. 총 다섯 단계로 구성된다.”라고 밝혔다. 이 공격은 이름이 공개되지 않은 정밀 유도 미사일 시스템 제조사를 포함해 여러 표적을 겨냥했으며, 파키스탄과 튀르키예 간의 방위 협력 심화와 최근 인도-파키스탄 군사 충돌이 겹친 시점에 진행되어 지정학적 동기가 있는 것으로 보인다. Patchwork는 APT-C-09, APT-Q-36, Chinastrats, Dropping Elephant, Operation Hangover, Quilted Tiger, Zinc Emerson 등 다양한 이름으로 불리며, 인도 정부 지원 배후를 가진 국가 지원 해킹 조직으로 평가된다.  최소 2009년부터 활동한 이 그룹은 중국, 파키스탄, 남아시아 여러 국가를 반복적으로 공격한 이력이 있다. 정확히 1년 전 Knownsec 404팀은 Patchwork가 부탄 관련 단체를 공격해 Brute Ratel C4 프레임워크 및 PGoShell이라는 백도어의 업데이트 버전을 배포한 사실을 공개한 바 있다. 2025년 들어 Patchwork는 중국 대학을 겨냥한 다수의 공격에 연관됐으며, 최근에는 전력망 관련 미끼를 사용해 Rust 기반 로더를 배포, 이 로더가 Protego라는 C# 트로이목마를 복호화·실행해 감염된 윈도우 시스템에서 광범위한 정보를 탈취했다. 중국 보안업체 QiAnXin이 2025년 5월 발표한 또 다른 보고에 따르면 Patchwork 인프라와 DoNot Team(APT-Q-38 또는 Bellyworm) 간에 중복 인프라가 확인돼, 두 위협 클러스터가 운영상 연결되어 있을 가능성이 시사됐다. Patchwork가 터키를 표적으로 삼은 것은 이 그룹의 타깃 대상을 확장하는 움직임으로, 악성 윈도우 바로가기(LNK) 파일을 피싱 이메일로 배포해 다단계 감염 과정을 촉발하는 전술을 채택했다. 구체적으로, LNK 파일은 PowerShell 명령을 호출해 외부 서버("expouav[.]org")에서 추가 페이로드를 받아온다.  해당 도메인은 2025년 6월 25일 생성됐으며, 무인 차량 시스템 관련 국제 컨퍼런스를 사칭한 PDF 미끼를 호스팅한다. 이 컨퍼런스 정보는 정식 waset[.]org 웹사이트를 기반으로 한다. Arctic Wolf는 “PDF 문서는 시각적 미끼로 활용되어 사용자의 주의를 분산시키는 한편, 나머지 실행 체인은 백그라운드에서 조용히 동작한다.  이 공격은 튀르키예가 전 세계 무인기(UAV) 수출 시장의 65%를 차지하고 극초음속 미사일 기술을 개발하는 한편, 인도-파키스탄 긴장 고조 속에서 파키스탄과 방위 협력 관계를 강화하는 시점에 이루어졌다”고 설명했다. 다운로드된 아티팩트 중에는 악성 DLL이 포함되어 있었고, 예약된 작업을 악용한 DLL 사이드로딩 방식으로 실행됐다.  이 과정에서 쉘코드가 구동되고, 감염 호스트에서 스크린샷 촬영 및 다양한 정찰을 수행해 서버로 해당 정보를 유출했다. 이것은 지난해 11월 관찰된 x64 DLL 변종에서 현행 x86 PE 실행 파일 및 향상된 명령 체계로의 진화를 보여준다.        출처: https://thehackernews.com/2025/07/patchwork-targets-turkish-defense-firms.html