← 보안 블로그로 돌아가기

Dell 제로데이 18개월간 미탐지 악용 + AI 어시스턴트가 C2 프록시로 활용

중국 APT가 Dell 제로데이를 18개월 이상 미탐지 상태로 악용했습니다. Check Point는 마이크로소프트 코파일럿과 Grok이 악성코드 C2 프록시로 악용될 수 있음을 입증했습니다. Keenadu 펌웨어 백도어가 안드로이드 태블릿에서 발견되었습니다. 패스워드 관리자에는 25종의 공격 변형이 있어 제로 지식 방식의 약속을 무력화하고 있습니다.

---

심각: Dell 제로데이 — 18개월간 미탐지

이처럼 장기간 지속된 체류 시간은 국가 배후 행위자의 정교함과, 패치를 넘어선 강력한 탐지 체계의 필요성을 보여줍니다.

---

AI 어시스턴트가 C2 프록시로 무기화되다

AI 플랫폼	악용 벡터
마이크로소프트 코파일럿	웹 브라우징 및 URL 페칭으로 정찰이 가능해짐
xAI Grok	동일한 기능이 동적 공격 판단에 악용됨

이 기법은 다음을 가능하게 합니다:

• AI를 통한 정찰 및 스크립팅
• 동적 공격 의사 결정
• 정상적인 엔터프라이즈 AI 사용에 뒤섞이는 트래픽

엔터프라이즈 AI 도구를 사용하는 조직은 이상 요청 패턴을 모니터링해야 합니다.

---

Keenadu: 안드로이드 펌웨어 백도어

주요 발견 사항:

• 발견 위치는 Alldocube 태블릿 및 기타 브랜드입니다.
• 전달 경로는 서명된 OTA 업데이트
• 백도어는 모든 앱의 주소 공간에 로드됩니다.
• 다단계 로더는 운영자에게 기기에 대한 완전한 제어 권한을 부여합니다

이는 하드웨어 수준의 공급망 침해에 해당하며 — 탐지하거나 복구하기가 극도로 어렵습니다.

---

패스워드 관리자: 25종의 공격 변형

공격 심각도는 무결성 침해부터 완전한 볼트 침해까지 다양합니다. 이 연구는 악성 서버 시나리오를 가정하며, 서버가 침해된 경우 "제로 지식 암호화"가 실제로 사용자를 보호하는지에 의문을 제기합니다.

영향받은 제품

• Bitwarden
• LastPass
• Dashlane

---

Microsoft 패치 화요일 리마인더

어제의 제로데이 6건이 여전히 심각한 상태입니다. 아직 패치하지 않았다면:

CVE	영향
CVE-2026-21510	Windows Shell 우회 — 클릭 한 번으로 공격자 코드가 실행됩니다
CVE-2026-21513	MSHTML 브라우저 우회
CVE-2026-21514	Microsoft Word 보안 우회
CVE-2026-21533	RDP 권한 상승, SYSTEM까지
CVE-2026-21519	데스크톱 창 관리자(DWM) 권한 상승
CVE-2026-21525	RASMAN DoS를 통한 VPN 장애 유발

---

VSCode 확장 프로그램: 1억 2,800만+ 다운로드 영향

심각(Critical)에서 높음(High) 수준의 결함이 인기 VSCode 확장 프로그램에서 발견되었으며, 이 확장 프로그램들은 총 1억 2,800만 건 이상의 다운로드 수를 기록했습니다:

• 로컬 파일을 탈취할 수 있습니다
• 원격으로 코드를 실행할 수 있습니다
• 개발자는 설치된 확장 프로그램을 즉시 점검해야 합니다

---

악성코드 업데이트

Lumma Stealer — Google Groups 악용

• 4,000개 이상의 악성 Google 그룹이 생성되었습니다
• 3,500개 이상의 Google 호스팅 URL이 악성코드를 배포하고 있습니다
• 트로이목마화된 "Ninja Browser"도 함께 배포하고 있습니다
• Windows 및 Linux에서 자격 증명을 노립니다

ClickFix DNS 진화

ClickFix 공격은 이제 DNS 쿼리(nslookup)를 사용해 PowerShell 페이로드를 가져옵니다 — DNS를 페이로드 전달 채널로 사용한 최초의 사례로 알려져 있습니다. "ModeloRAT" 악성코드를 전달합니다.

---

침해 사고 및 랜섬웨어

대상	영향	행위자
Eurail B.V.	여행자 데이터가 다크웹에 유출	알 수 없음
Canada Goose	고객 기록 60만 건	ShinyHunters
LVMH 브랜드	2,500만 달러 벌금(한국)	Scattered LAPSUS$
Washington Hotel(일본)	업무 데이터 노출	랜섬웨어

희소식: 47세의 Phobos 랜섬웨어 용의자가 폴란드에서 체포되었으며, 탈취한 자격 증명과 신용카드 데이터가 담긴 기기를 소지하고 있었습니다.

---

CISA, 여전히 38% 인력으로 운영 중

DHS 셧다운이 계속되면서 — CISA는 2,341명 중 888명의 인력으로 운영되고 있습니다. 연방 사이버보안 대응 역량은 여전히 저하된 상태입니다. 조직은 내부 모니터링을 강화해야 합니다.

---

오늘의 수치

지표	값
Dell 제로데이 체류 시간	18개월 이상
패스워드 관리자 공격 변형 수	25종
영향받은 VSCode 확장 프로그램 다운로드 수	1억 2,800만+
악성 Google 그룹	4,000개 이상
활성 Microsoft 제로데이	6건
CISA 운영 인력 비율	38%

---

오늘의 우선순위

1. 패치: Microsoft 제로데이 6건 + Chrome 145 + BeyondTrust + Ivanti
2. 점검: VSCode 확장 프로그램 — 알 수 없거나 불필요한 항목 제거
3. 모니터링: 엔터프라이즈 AI 도구 사용에서 이상 패턴 감지
4. 검토: 공급망 보안 — 펌웨어 무결성
5. 평가: ETH 취리히 연구 결과를 토대로 패스워드 관리자 위험 평가