2026년 10월 1주차 동향 보고서

NetScaler 제로데이 악용과 WHIPSHOT, SLAPSHOT

Mandiant Consulting과 Google Threat Intelligence Group은 Citrix NetScaler ADC 및 NetScaler Gateway의 제로데이 취약점 악용이 2026년 9월 초부터 실제 공격에 사용됐다고 확인했다. 이 활동은 북미와 유럽의 정부, 금융, 기술, 교육, 법률 및 전문 서비스 조직을 겨냥했거나 영향을 준 것으로 제시됐으며, Citrix는 CVE-2026-88772와 함께 CVE-2026-88771도 실제 악용 중이라고 공개했다.

CVE-2026-88772는 DTLS 처리 과정에서 조작된 레코드 헤더가 NSPPE의 메모리 경계 손상을 유발해 FreeBSD 기반 장비에서 루트 권한 코드 실행으로 이어질 수 있는 취약점으로 설명됐다. 공격자는 인증 전 단계에서 이 경로를 사용한 뒤 웹 서버 설정을 변경해 이미지, CSS, 패키지 또는 서명 파일처럼 보이는 경로와 확장자를 PHP로 실행하게 했다. WHIPSHOT 웹셸은 HTTP 헤더에 숨긴 Base64 인코딩 명령을 처리하고 가짜 HTTP 404 응답을 반환해 명령 실행을 위장하는 방식으로 기술됐다.

침해 후 활동에는 루트 권한 실행과 지속성을 위한 셸 권한 변경, 장비 또는 웹 서버 재시작, 내부망 접근을 위한 SLAPSHOT 사용이 포함됐다. SLAPSHOT은 침해된 NetScaler 장비에서 내부 호스트로 TCP 트래픽을 중계하는 Python 기반 프록시와 터널러로 설명됐고, 확인된 침해 사례에서는 내부 정찰과 자격증명 탐색, 측면이동 지원에 사용된 것으로 보고됐다. GreyNoise는 9월 28일부터 다수 행위자와 캠페인에 의한 대량 정찰과 악용, 웹셸 및 악성코드 배포를 관측했다고 밝혔다.

Star Blizzard의 RedFlick 피싱과 CosmicPulse 배포

Microsoft는 Star Blizzard가 2026년 1월부터 RedFlick 전달 방식을 사용해 피싱 캠페인과 CosmicPulse 백도어 배포를 결합했다고 밝혔다. 이 활동은 우크라이나 개인과 기관, 우크라이나 지원과 연계된 국제 NGO, 싱크탱크, 정부기관, 외교 관계자, 언론사 및 금융기관을 겨냥했으며, 미국과 영국을 중심으로 100개가 넘는 조직에 영향을 준 것으로 제시됐다. 보안기관들은 Star Blizzard가 러시아 FSB의 Center 18 아래에서 활동할 가능성이 매우 높다고 평가했다.

공격자는 먼저 첨부파일 없는 메일로 정상 업무 연락처럼 대화를 시작하고, 수신자가 응답하면 비밀번호로 보호된 압축 파일을 전달했다. 비밀번호는 메일 내 이미지로 안내됐으며, 압축 파일에는 VHDX와 PDF로 위장한 LNK 파일, BAT 스크립트, MSI 설치 관리자가 포함될 수 있었다. 일부 7월 흐름에서는 ZIP 안에 암호화된 RAR 파일을 중첩하고 LNK 파일이 인코딩된 데이터를 포함한 PDF를 내려받게 한 뒤 PowerShell로 MSI 설치 관리자를 추출해 실행하는 방식도 추가됐다.

RedFlick 설치 관리자는 Windows 네트워크 구성요소처럼 보이는 예약 작업을 만들고 기본 시스템 정보를 수집하며 WebDAV 기반 원격 자원 접근과 후속 구성요소 실행을 수행했다. 기사들은 이 흐름이 기존 ClickFix 체인보다 적은 사용자 상호작용으로 CosmicPulse 설치를 유도한다고 설명했다. CosmicPulse는 원격 페이로드 내려받기, 공격자가 제공한 Python 코드 실행, 감염 호스트의 파일 내려받기와 문서 수집을 지원하는 백도어로 제시됐으며, Microsoft는 최소 한 건의 침해에서 원격 인프라 통신, 예약 작업 생성 및 CosmicPulse 배포를 관측했다고 밝혔다.

SharePoint 취약점과 Warlock 랜섬웨어

Symantec은 Longlegs로 추적하는 조직이 최근 두 달 동안 Microsoft SharePoint Server 취약점을 악용해 Warlock 랜섬웨어를 배포했다고 밝혔다. 피해 대상에는 포르투갈어권과 스페인어권 국가의 수도 사업자, 통신 제공업체, 지방 정부 기관 및 대학이 포함됐고, 활동은 유럽, 아프리카 및 라틴아메리카에 걸친 최소 4개 조직으로 제시됐다. Microsoft는 같은 활동을 Storm-2603으로 부르며, 다른 과거 활동명과의 연계 근거도 기사에 언급됐지만 각 출처는 명명과 연계 수준을 구분해 설명했다.

공격자는 패치되지 않은 온프레미스 SharePoint 배포 환경을 초기 침투 지점으로 삼고 웹셸을 설치한 뒤 ASP.NET 머신 키를 탈취해 서명된 VIEWSTATE 페이로드를 위조했다. 이후 SharePoint 애플리케이션 풀에서 원격 코드 실행을 확보하고, DLL 사이드로딩, 정상 클라우드 저장소에서 받은 설치 관리자, Visual Studio Code 터널 기능, NetExec과 같은 정상 또는 관리 도구를 이용해 정찰, 자격증명 스프레이, 원격 실행과 내부 접근 확대를 수행한 것으로 보고됐다.

일부 침해에서는 취약한 서명 드라이버를 이용해 보안 제품을 종료하는 BYOVD 방식이 사용됐다. 한 핵심 인프라 피해 환경에서는 약 두 시간 동안 최소 40개 호스트에서 보안 제품 무력화 도구가 실행됐고, 도메인의 SYSVOL 공유와 복제 기능을 통해 최소 33개 호스트에 Warlock 랜섬웨어가 배포된 것으로 제시됐다. 이 사건에서 SYSVOL은 랜섬웨어 확산 경로로 악용된 내부 배포 지점으로 설명됐다.

UAT-11587의 Antino 백도어와 Microsoft 365 통신

Cisco Talos는 UAT-11587 조직이 2025년 9월부터 2026년 7월까지 아시아의 정부, 국가안보 인접 조직, 학계, 외교 및 정책 관련 기관을 겨냥한 첩보 수집 활동을 수행했다고 밝혔다. 피해 또는 표적 지역은 대만, 인도, 필리핀, 캄보디아, 파키스탄, 태국, 미얀마, 시리아로 제시됐으며, Talos는 기술 및 운영 증거를 근거로 이 활동을 중국 연계로 높은 신뢰도로 평가했다. Jewelbug 및 UNC6384와 일부 중복 정황이 언급됐지만, Talos는 금전 목적 활동과 이번 첩보 작전의 직접적 연결은 독립적으로 검증하지 못했다고 밝혔다.

공격자는 표적 조직과 정책 주제를 조사해 외교, 국제 안보, 정부 정책 관련 미끼를 만들고 신뢰받는 발신자 신원을 사칭했다. 감염 흐름은 Gmail 첨부파일 미리보기 위장, HTA 또는 WSF 스테이저, Windows Script Host와 mshta.exe에서 실행되는 후속 스크립트, .NET BinaryFormatter 역직렬화, DLL 사이드로딩을 거쳐 Antino 백도어 실행으로 이어지는 것으로 설명됐다. 일부 기사에는 중국 정부 지원으로 추정되는 별도 피싱이 AI 정책 전문가의 OneDrive 자격증명을 노렸다는 내용도 함께 언급됐으나, Antino 활동과는 별도 활동으로 제시됐다.

Antino는 Windows용 Rust 백도어로 호스트 정찰, 프로세스와 디렉터리 열거, 셸 및 PowerShell 명령 실행, 파일 전송, 프로그램 실행, 메모리 내 셸코드 실행과 자동 실행 등록을 지원한다. 감염 후 통신은 Microsoft Graph API를 이용해 Outlook 사서함에서 명령을 주고받고 OneDrive 폴더에 하트비트, 탈취 파일과 추가 도구를 저장하는 방식으로 제시됐다. Windows Scripted Diagnostics 프레임워크를 악용해 정상 Windows 구성요소에서 공격자 통제 PowerShell을 실행한 점도 탐지 회피와 지속성 확보 정황으로 설명됐다.

S1ngularity의 Nx 패키지 게시 토큰 악용

S1ngularity는 공격자가 Nx 저장소의 토큰 또는 GitHub Actions 워크플로 결함으로 탈취한 npm 게시 토큰을 이용해 CI 스크립트를 바꾸고 악성 Nx 패키지를 게시한 공급망 침해로 제시됐다. 기사들은 신뢰된 패키지 업데이트와 의존성이 자동 설치될 수 있는 특성 때문에 감염된 패키지의 postinstall 훅이 개발자 환경에서 실행될 수 있었다고 설명했다.

감염 패키지의 postinstall 훅은 개발자 시스템에서 자격증명과 토큰 및 SSH 키를 검색했고, 로컬 AI 코딩 도구에도 파일 시스템에서 GitHub 자격증명, npm 토큰, 클라우드 키, SSH 자료와 환경 파일을 찾도록 지시했다. 탈취한 GitHub 자격증명으로 공개 저장소를 만들어 데이터를 반출했다는 설명도 포함됐다.

Shai-Hulud와 Mini Shai-Hulud의 패키지 자기 확산

Shai-Hulud는 npm 게시 자격증명을 찾아 피해자가 게시할 수 있는 패키지를 식별하고 추가 악성 릴리스에 코드를 삽입해 자기 확산한 웜 방식으로 기술됐다. 후속 변종과 Mini Shai-Hulud는 악성 확장 프로그램, 장기 자격증명 및 난독화된 JavaScript 페이로드를 결합한 것으로 제시됐다.

ChainDrop 캠페인은 Mini Shai-Hulud 변종을 사용했으며, 난독화된 Bun 기반 JavaScript 페이로드로 400개가 넘는 npm 패키지를 감염시켰다고 설명됐다. 기사들은 이 흐름에서 개발자 자격증명 저장소와 AI 개발 도구 탐색이 함께 언급됐다고 밝혔다.

TeamPCP의 Trivy 서비스 계정 악용과 CanisterWorm 배포

TeamPCP 관련 활동에서는 Trivy의 서비스 계정 악용과 실행 중인 워크플로가 참조하는 버전 태그에 대한 악성 업데이트 게시가 제시됐다. ReversingLabs와 후속 보도는 탈취한 npm 토큰을 통한 CanisterWorm 배포도 함께 설명했으며, CanisterWorm은 60개가 넘는 npm 패키지를 침해한 것으로 보고됐다.

수사 당국은 TeamPCP 활동이 전 세계 1,000개 이상 조직을 침해하고 50만 건이 넘는 자격증명 및 인증 자료와 최소 300GB의 데이터를 탈취했을 가능성이 있다고 밝혔다. 호주 연방경찰, 서호주 경찰과 FBI의 합동 수사 뒤 서호주 남성 2명이 기소됐다는 내용도 기사에 포함됐다.

PaperPhone 모바일 위장 스크래핑 클러스터

CrowdSec은 PaperPhone을 수십 개 국가의 정상 모바일 사용자처럼 보이도록 위장한 중앙집중식 대규모 스크래핑 클러스터로 평가했다. 기사들은 약 7만5천 개 주소와 43개국에 걸친 트래픽을 관측했다고 설명하면서도, 국가 간 요청 급증 시점이 동기화되고 현지 시간대와 맞지 않는 활동 패턴이 나타난 점을 독립적인 사용자 집단이 아니라 단일 운영 주체의 인프라로 보는 근거로 제시했다.

PaperPhone은 여러 Android와 iOS 기기 신원을 순환하고 반복된 챌린지 실패 뒤 주소를 바꾸는 방식으로 모바일 트래픽처럼 보이려 했다. 그러나 모든 클라이언트가 동일한 화면 크기와 Google SwiftShader WebGL 렌더러를 제시했고, iOS로 주장한 클라이언트에서 Chrome 계열 그래픽 신호가 나타난 점은 자동화된 Chrome 기반 또는 헤드리스 환경이 모바일 브라우저를 사칭한 정황으로 설명됐다. CrowdSec은 IP 평판이나 지리 차단만으로는 주소 회전과 위치 정보 위장을 동반한 스크래핑을 식별하기 어렵다고 평가했다.