Progress ShareFile 인증 전 RCE 체인, 20만 대 기기 와이퍼 공격에서 복구한 Stryker, CERT-UA 사칭으로 100만 개 이메일에 AGEWHEEZE 유포, LatAm(중남미)·유럽을 강타한 Casbaneiro PDF 미끼

Progress ShareFile에서 패치되지 않은 인스턴스를 상대로 인증 전 원격 코드 실행을 가능하게 하는 위험한 취약점 체인이 발견됐다. 의료기술 대기업 Stryker는 20만 대의 기기를 파괴한 와이퍼 공격 이후 모든 운영이 정상화됐다고 발표했다. CERT-UA를 사칭한 대규모 피싱 캠페인은 100만 개가 넘는 받은편지함에 AGEWHEEZE 악성코드를 유포했다. Casbaneiro 뱅킹 트로이목마는 중남미와 유럽 전역에서 동적 PDF 미끼를 앞세워 다시 등장했다. WhatsApp으로 전달되는 VBS 악성코드는 UAC 우회를 악용해 Windows 시스템을 장악한다. 주거용 프록시는 관측된 40억 건의 세션에서 78%의 비율로 IP 평판 통제를 회피하고 있다.

1. Progress ShareFile 인증 전 RCE — 취약점 체인으로 미인증 장악 가능

Progress ShareFile — 널리 도입된 기업용 파일 공유·협업 플랫폼 — 에서 여러 취약점을 연계할 경우 원격 미인증 공격자가 완전한 원격 코드 실행(RCE)을 취약한 서버 인스턴스에서 달성할 수 있는 것으로 드러났다.

취약점 체인

이 익스플로잇 체인은 서로 다른 두 가지 약점을 연결한다. 첫 번째는 ShareFile 웹 애플리케이션의 인증 우회 ShareFile 웹 애플리케이션의 결함으로, 미인증 요청이 로그인한 사용자만 이용해야 하는 엔드포인트에 도달하도록 허용한다. 두 번째는 해당 보호 엔드포인트를 통해 접근할 수 있는 서버 측 역직렬화 취약점이다. 두 취약점을 결합하면 공격자는 인증 우회를 통해 조작된 직렬화 페이로드를 전달하고 웹 서버 프로세스의 권한으로 임의 코드를 실행할 수 있다. 어느 단계에서도 자격 증명은 필요하지 않다.

영향받는 버전

• ShareFile StorageZones Controller 5.12.x 및 이전 버전
• 다음 환경의 ShareFile 온프레미스 배포: Windows Server 2016/2019/2022
• Progress가 관리하는 클라우드 호스팅 ShareFile 테넌트는 이미 패치됐다.
• 자체 호스팅 및 하이브리드 StorageZones 구성은 업데이트할 때까지 위험에 노출된다.

악용 위험

Progress ShareFile은 금융 서비스, 법률, 의료 등 규제 산업에서 폭넓게 사용되며, 이들 업종은 플랫폼에 매우 민감한 문서를 저장한다. 인증 전 RCE가 성공하면 공격자는 기반 파일 서버와 저장된 모든 문서, 애플리케이션 환경에 캐시된 자격 증명에 직접 접근할 수 있다. 유사한 Progress 취약점(예: 2023년 MOVEit Transfer)이 공개 후 며칠 만에 랜섬웨어 조직에 의해 대규모로 악용된 전례를 고려하면, 실제 악용 시도가 곧 시작될 것으로 예상해야 한다.

패치 및 완화 조치

• 최신 Progress ShareFile StorageZones Controller 패치를 즉시 적용한다.
• 패치가 지연될 경우, StorageZones Controller의 인터넷 노출을 차단한다.
• 웹 서버 및 애플리케이션 로그에서 관리자 엔드포인트를 향한 비정상적인 POST 요청을 검토한다.
• 패치 후 모든 ShareFile 서비스 계정 자격 증명을 교체한다.
• 클라우드 호스팅 ShareFile 테넌트는 해당 테넌트가 패치된 빌드를 사용하는지 Progress에 확인한다.

2. 20만 대의 기기를 덮친 파괴적 데이터 삭제 공격 이후 완전히 정상화된 Stryker

Stryker Corporation은수술 장비, 정형외과 임플란트, 병원 물류 사업을 전개하는 세계 최대 의료기술 기업 중 하나로, 현재 모든 운영이 정상화됐다고 확인했다. 이번 와이퍼 악성코드 공격은 인프라 전반에서 약 20만 대의 기기 데이터를 삭제했다.

공격 타임라인

• 2026년 2월 중순 — 최초 침입 발생, 공격자가 Stryker 내부 네트워크 전반에 지속성을 확보
• 2026년 3월 3일 — 전 세계 제조·물류 부문에 와이퍼 페이로드가 동시에 배포돼 약 20만 대의 기기가 작동 불능 상태에 빠짐
• 3월 3일~3월 14일 — 위기 대응 진행, 제조 라인이 중단되고 수술·정형외과 제품군의 배송 지연이 보고됨
• 3월 14일~3월 28일 — 클린 이미징과 백업을 활용하고 복구 불가능한 기기는 하드웨어로 교체하는 단계적 복구 진행
• 2026년 4월 1일 — Stryker가 모든 운영의 정상화를 선언

영향 및 복구

랜섬웨어가 아닌 와이퍼 악성코드를 사용했다는 점은 주된 목적이 금전적 갈취가 아닌 운영 중단이었음을시사한다. 20만 대의 기기가 파괴되면서 Stryker의 제조 역량은 큰 타격을 입었고, 그 여파로 관절 치환 부품과 수술 기구의 병원 공급망까지 지연됐다. 복구에는 강화된 골든 이미지를 이용한 전체 OS 재이미징, 저장장치가 복구 불가능할 정도로 물리적으로 덮어써진 기기의 하드웨어 교체, 수천 대 생산 시스템의 수동 재구성이 병행됐다.

Stryker는 공격의 배후로 특정 위협 행위자를 공개 지목하지 않았다. 와이퍼의 동작을 분석한 결과, 과거 지정학적 목표를 지원하며 활동한 국가 지원 행위자와 연계된 파괴형 도구의 특징과 유사하지만, 이러한 배후 판단은 아직 확인되지 않았다.

핵심 교훈

• 오프라인 에어갭 백업이 결정적인 역할을 했다. 분리된 백업이 없는 기기는 하드웨어를 전면 교체해야 했다.
• 클린 OS 골든 이미지가 대규모 재이미징을 획기적으로 앞당겼다.
• 네트워크 분할이 와이퍼 페이로드의 횡적 확산을 제한했다.
• OT/제조 네트워크의 모니터링 공백으로 인해 공격자는 탐지되지 않은 채 수주간 체류할 수 있었다.

3. CERT-UA 사칭 캠페인, 100만 개 받은편지함에 AGEWHEEZE 악성코드 유포

우크라이나 사이버보안 커뮤니티는 2026년 자국을 겨냥한 최대 규모의 피싱 작전 중 하나에 대응하고 있다. 이 캠페인은 CERT-UA를 — 우크라이나 정부의 공식 컴퓨터 비상대응 기관 — 정교하게 사칭해 이전에 문서화되지 않은 악성코드 계열인 AGEWHEEZE를 다음 규모를 넘는 100만 명의 수신자에게 유포했다..

피싱 수법

이 캠페인은 공식 CERT-UA 이메일 도메인을 매우 흡사하게 모방한 위조 발신자 주소와 실제 CERT-UA 보안 권고의 형식, 브랜딩, 어조를 그대로 재현한 이메일 내용을 함께 사용했다. 수신자에게는 조작된 치명적 취약점을 해결하기 위한 "긴급 보안 패치" 또는 "필수 검사 도구"를 내려받아 실행하라고 지시했다. 이는 CERT-UA와 평소 이 기관의 보호를 받는 조직 간 신뢰 관계를 악용한 사회공학 수법이다.

이메일은 최소 세 차례에 걸쳐 발송됐으며, 긴박감과 열람률을 극대화하기 위해 현재의 지정학적 긴장과 분쟁 관련 현안을 제목에 활용했다. 연구진에 따르면 표적 목록에는 우크라이나의 정부 부처, 군 지원 조직, 핵심 인프라 운영기관과 동맹국 협력 기관이 동유럽 전역에 걸쳐 포함됐다.

AGEWHEEZE 악성코드의 기능

AGEWHEEZE는 초기 흔적을 최소화하면서 광범위한 침투 후 기능을 제공하도록 단계형 아키텍처로 설계된 모듈식 임플란트다.

• 1단계: 운영 환경을 검증하고 C2에 비콘을 전송해 진행 여부 지시를 받은 뒤 다음 단계를 실행하는 경량 드로퍼
• 2단계: 정상적인 클라우드 서비스 트래픽으로 위장해 공격자 통제 인프라와 HTTPS 암호화 통신을 구축하는 지속성 백도어
• 자격 증명 수집: 브라우저, 이메일 클라이언트, Windows Credential Manager에 저장된 자격 증명을 추출
• 키로깅 및 화면 캡처: 완전히 배포된 이후 지속적인 감시 기능 제공
• 측면 이동: 수집한 자격 증명을 이용해 기업 네트워크 내부에서 SMB 기반으로 확산
• 자가 삭제: 임플란트 설치에 성공하면 초기 드로퍼 흔적을 제거

침해 지표(IoCs)

• cert-ua[.]gov[.]ua를 사칭하는 발신 도메인 — 미묘한 타이포스쿼팅(cert-uaa, cert-u4, certua) 확인
• 첨부파일 이름: CERT-UA_Advisory_March2026.exe, security_scanner_v2.zip
• 할당되지 않은 동유럽 IP 대역의 불릿프루프 호스팅을 활용하는 C2 인프라
• 주요 클라우드 공급자를 모방한 도메인으로 전송되는 HTTPS 비콘(azure-cdn-updates[.]net 패턴)
• 레지스트리 지속성: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\WinSecService

4. 동적 PDF 미끼로 LatAm(중남미)과 유럽을 노리는 Casbaneiro 뱅킹 트로이목마의 귀환

Casbaneiro는 (Metamorfo/Ponteiro로도 추적됨) 2018년부터 활동해 온 중남미 뱅킹 트로이목마로, 크게 진화한 형태로 돌아왔다. 보안 연구진은 초기 감염 경로로 동적 생성 PDF 미끼를 사용하는 실제 캠페인을 확인했다. 이는 이 조직이 과거에 의존하던 악성 Office 매크로 문서를 대체한다.

동적 PDF 수법

이 캠페인의 가장 주목할 만한 혁신은 전달 시점에 개인화된 미끼 문서를 만드는 서버 측 PDF 생성이다. 정적 악성 PDF는 시그니처 매칭으로 보안 제품에 탐지되지만, 이 문서들은 요청 시마다 생성되며 다음 요소를 포함한다.

• 피해자별 세부 정보 (이름, 은행, 계좌번호 일부)는 이전 데이터 유출에서 확보해 신뢰성을 높임
• 정상적인 임베디드 글꼴과 브랜딩은 실제 금융기관에서 가져와 육안 검사를 회피
• 삽입된 PDF 리더 취약점을 악용하는 JavaScript는 또는 "필수 보안 플러그인" 다운로드 메시지를 표시
• 공격자 통제 인프라로 리디렉션하는 QR 코드로 이메일 링크를 검사하는 URL 평판 필터를 우회

표적 지역 및 기관

• 브라질 — 주요 표적이며 대형 소매은행, 디지털 결제 플랫폼, 투자 중개업체를 사칭
• 멕시코, 콜롬비아, 아르헨티나 — 모든 주요 금융기관의 역내 은행 고객을 표적화
• 스페인과 포르투갈 — LatAm(중남미) 표적과 공유하는 언어 및 은행 브랜드 인지도를 활용해 유럽으로 확장
• 이탈리아 — INPS(사회보장) 알림을 언급하는 별도의 미끼 테마로 이탈리아 은행권을 표적화

탐지 지침

• 이메일 보안 게이트웨이에서 JavaScript 또는 실행 동작이 삽입된 수신 PDF를 표시한다.
• PDF 뷰어 프로세스가 자식 프로세스(cmd.exe, powershell.exe, mshta.exe)를 생성하면 경보를 발생시킨다.
• 기업 이메일 환경에서 QR 코드 링크를 차단하고, 의심스러운 QR 코드를 신고하도록 사용자에게 요구한다.
• Casbaneiro 특유의 DLL 사이드로딩 패턴과 AutoHotkey 기반 지속성을 모니터링한다.
• Casbaneiro는 일반적으로 전체 화면 창 오버레이 공격을 사용하므로 예기치 않은 전체 화면 애플리케이션 실행을 탐지한다.

5. WhatsApp으로 전달되는 VBS 악성코드, UAC 우회로 Windows 장악

새로 확인된 악성코드 캠페인은 Windows 시스템을 겨냥한 Visual Basic Script(VBS) 악성코드의 전달 채널로 WhatsApp을 악용하고 있다. 공격자는 개인 메시지를 통해 받은 파일에 사용자가 본능적으로 부여하는 신뢰를 악용한다. 특히 계정이 탈취된 지인의 연락처에서 온 것처럼 보이게 해, 원치 않는 이메일 첨부파일이라면 의심했을 사용자의 경계심을 무너뜨린다.

전달 방식

피해자는 탈취된 지인의 연락처나 알 수 없는 번호에서 WhatsApp 메시지를 받으며, 메시지에는 VBS 파일이 들어 있는 압축 파일(ZIP/RAR)이 문서, 청구서 또는 미디어 파일로 위장해 첨부된다. 흔히 사용되는 미끼 주제는 다음과 같다.

• 가짜 배송 알림("소포를 배송하지 못했습니다 — 세부 정보 확인")
• 허위 금융 문서(PDF 아이콘을 사용한 "Invoice_March2026.pdf.vbs")
• 정부기관 사칭 통지(세금 고지서, 과태료 통지)

공격 체인

VBS 페이로드가 실행되면 다단계 공격을 수행한다.

1. 환경 확인: 샌드박스나 분석용 VM이 아닌 실제 사용자 환경에서 실행 중인지 검증
2. UAC 우회: 다음 파일의 자동 권한 상승 메커니즘을 통해 알려진 Windows 사용자 계정 컨트롤 우회 기법을 악용: fodhelper.exe UAC 프롬프트를 표시하지 않고 상승된 권한을 확보
3. 지속성: Windows 시작 폴더에 PowerShell 기반 백도어를 설치하고 복원력을 위해 예약 작업을 생성
4. C2 비콘 통신: 명령과 페이로드를 전달받기 위해 공격자 인프라로 아웃바운드 HTTPS 연결을 수립
5. 데이터 유출: 브라우저 자격 증명, 시스템 정보, 로컬 저장 문서를 수집

방어 조치

• 메시징 앱을 포함한 어떤 채널로 받았든 VBS, JS, WSF 파일은 위험하다는 사실을 사용자에게 교육한다.
• 그룹 정책 또는 WDAC 규칙을 통해 Windows에서 VBScript 실행을 차단한다.
• 다음 프로세스가 fodhelper.exe 예기치 않은 자식 프로세스를 생성하는지 모니터링한다. 이는 신뢰도 높은 UAC 우회 지표다.
• 스크립팅 엔진(wscript.exe, cscript.exe)이 생성한 예약 작업을 탐지해 경보를 발생시킨다.
• 스크립트 실행을 겨냥한 공격 표면 감소 규칙의 배포를 검토한다.

6. 주거용 프록시, 40억 건의 세션에서 IP 평판 회피율 78% 기록

위협 인텔리전스 연구진이 수행한 40억 건 이상의 프록시 세션에 대한 종합 분석을 통해 주거용 프록시 네트워크가 IP 기반 보안 통제를 무력화하는 규모가 수치로 확인됐다. 이 결과는 IP 평판 피드, 지오펜싱, 차단 목록을 주요 방어 수단으로 사용하는 조직에 중대한 과제를 제기한다.

문제의 규모

주거용 프록시 네트워크는 자신도 모르게 기기가 편입된 소비자의 인터넷 연결을 통해 공격 트래픽을 라우팅한다. 흔히 수상한 무료 VPN 앱이나 악성코드를 통해 편입되며, 현재 데이터세트에서 관측된 크리덴셜 스터핑, 계정 탈취, 웹 스크래핑 공격의 78%에 사용되는 것으로 추정된다. 이때 사용되는 주거용 IP 주소는 정상적인 가정용 광대역 연결과 구별할 수 없으므로 다음과 같은 문제가 발생한다.

• 데이터센터 및 호스팅 IP를 표시하는 IP 평판 피드는 주거용 프록시 트래픽을 거의 탐지하지 못한다. 주거용 프록시 트래픽을 거의 식별하지 못합니다
• 표적 국가의 출구 노드를 선택하기만 하면 지역 차단을 손쉽게 우회할 수 있다.
• 캠페인당 수천 개의 주거용 IP를 순환 사용해 IP 주소 기반 속도 제한을 무력화한다.
• 주거용 프록시 세션의 중앙값은 새로운 IP로 교체되기 전까지 불과 8분에 그쳐 시간 기반 차단을 방해한다.

방어 권고 사항

이번 연구는 IP 중심 방어를 행동 및 기기 수준 신호로 보완해야 한다는 점을 강조한다.

• 기기 핑거프린팅: Canvas, WebGL, 오디오 핑거프린팅으로 여러 IP에서 동일한 기기 프로필을 재사용하는 자동화 클라이언트를 탐지
• 행동 생체인식: 마우스 이동 패턴, 타이핑 속도와 리듬, 스크롤 동작을 분석해 IP 출처와 무관하게 봇을 식별
• TLS 핑거프린팅(JA3/JA4): 자동화 도구는 실제 브라우저 분포와 일치하지 않는 고유한 TLS 핸드셰이크 프로필을 생성
• 챌린지 기반 검증: 가치가 높은 엔드포인트에 보이지 않는 CAPTCHA 또는 작업 증명 챌린지를 배포
• 비즈니스 로직의 속도 이상: 계정 활동에서 비정상적인 패턴(몇 분 안에 서로 다른 여러 주·도시에서 발생한 로그인 시도)을 표시

7. 실제 캠페인에서 RAT와 암호화폐 채굴기를 유포하는 ISO 이미지 미끼

보안 연구진은 이중 페이로드 작전의 전달 수단으로 ISO 디스크 이미지 파일을 악용하는 실제 캠페인을 확인했다. 이 작전은 지속적인 접근과 자격 증명 탈취를 위한 원격 접근 트로이목마(RAT)와 침해된 컴퓨팅 자원으로 수익을 창출하는 암호화폐 채굴기를 함께 배포한다.

유포 방식

이 캠페인은 여러 채널을 통해 ISO 파일을 동시에 유포한다.

• 피싱 이메일 소프트웨어 라이선스 설치 프로그램, 게임 크랙 또는 기업용 애플리케이션 설치 파일로 위장한 ISO를 첨부한다. 흔한 실행 파일 형식(EXE, DLL, SCR)을 검사하는 이메일 게이트웨이는 ISO 파일을 심층 검사 없이 통과시키는 경우가 많다.
• 멀버타이징 소프트웨어 불법복제 및 토렌트 사이트에서 ISO를 인기 상용 소프트웨어의 크랙 버전으로 제시
• Discord 및 Telegram 소프트웨어 공유 커뮤니티에서 ISO를 정상적인 도구 모음으로 게시
• SEO 포이즈닝된 검색 결과로 가짜 소프트웨어 다운로드 랜딩 페이지에 유도

ISO를 마운트하면(Windows 10 이상에서는 ISO 파일을 두 번 클릭할 때 자동 마운트됨) 그럴듯한 설치 프로그램 UI를 표시하는 동시에 RAT와 채굴기를 몰래 드롭하고 실행한다. 채굴기는 사용자가 활동 중일 때 CPU 사용량을 제한해 탐지를 피하고, 유휴 시간에만 최대 성능으로 실행되도록 구성된다.

방어 조치

• 관리자가 아닌 사용자의 ISO 파일 다운로드를 웹 게이트웨이 수준에서 차단한다.
• 그룹 정책을 통해 ISO 자동 마운트를 비활성화한다. Computer Configuration > Administrative Templates > Windows Components > AutoPlay Policies
• 정상적인 유휴 시간대의 비정상적인 CPU 급증을 탐지해 경보를 발생시킨다. 이는 강력한 암호화폐 채굴기 지표다.
• 가상 드라이브 마운트 지점(D:\, E:\ 등 동적으로 할당됨)에서 생성된 프로세스를 모니터링한다.

8. LiteLLM 공급망 침해로 공격받은 Mercor AI 플랫폼

Mercor는대규모 언어 모델을 사용해 지원자와 채용 기회를 연결하는 AI 네이티브 채용 플랫폼으로, 이번 보안 사고의 원인이 LiteLLM 의존성에 대한 공급망 침해로추적됐다고 공개했다. LiteLLM은 통합 인터페이스에서 여러 LLM 공급자 API(OpenAI, Anthropic, Azure OpenAI 등)로 요청을 프록시하는 데 사용되는 인기 오픈소스 라이브러리다.

공격의 성격

공격자들은 LiteLLM 릴리스에 악성 코드를 삽입했고, 이후 Mercor의 프로덕션 인프라가 이를 의존성으로 가져왔다. 악성 패키지 버전에는 다음 기능을 수행하는 백도어가 포함됐다.

• LLM API 키 유출 애플리케이션 환경에 저장된 OpenAI, Anthropic, Azure 키를 유출했다. 이 키는 상당한 비용 발생과 데이터 접근으로 이어질 수 있다.
• LLM 프롬프트와 응답 기록으로 플랫폼의 AI 기반 기능을 통해 제출된 민감한 지원자 정보가 포착됐을 가능성이 있다.
• 클라우드 공급자 메타데이터 서비스를 악용해 인스턴스 자격 증명을 확보하고 호스팅 환경 내부에서 횡적 이동을 시도

더 광범위한 AI 공급망 위험

이번 사고는 새롭게 부상했지만 충분히 주목받지 못한 공격 표면인 AI 애플리케이션 의존성 체인을부각한다. LiteLLM 하나만 해도 LLM 기반 애플리케이션을 구축하는 수백 곳의 스타트업과 기업에서 사용한다. 단 하나의 릴리스가 침해돼도 AI 파이프라인을 통해 민감한 사용자 데이터를 처리하는 수십 개의 하위 플랫폼이 동시에 영향을 받을 수 있다.

LiteLLM 사용자를 위한 즉각적인 조치

• 모든 프로덕션 환경의 현재 LiteLLM 버전을 확인된 안전 버전 목록과 대조해 감사한다.
• 모든 LLM API 키를 즉시 교체한다. 영향받을 가능성이 있는 버전을 실행 중이라면 반드시 시행한다.
• SSRF/메타데이터 엔드포인트를 통한 자격 증명 탈취를 방지하도록 클라우드 인스턴스 메타데이터 접근 통제를 검토한다.
• 모든 AI/ML 의존성에 패키지 무결성 검증(해시 고정)을 구현한다.
• LLM 프록시 서비스가 민감한 환경 변수에 접근하지 못하도록 샌드박스 적용을 검토한다.

위협 환경 요약