보안 브리핑 2026년 4월 4일 · 읽는 데 9분

중국 연계 TA416, EU·NATO 외교 표적에 PlugX 배포…유럽연합 집행위원회 침해로 기관 30곳 데이터 노출, Microsoft는 Linux의 쿠키 제어형 PHP 웹 셸 발견, SparkCat 암호화폐 지갑 탈취 도구 앱스토어 복귀

Proofpoint는 TA416이 OAuth 리디렉션과 Cloudflare Turnstile을 악용해 유럽 정부와 NATO 대표부에 맞춤형 PlugX 변종을 배포한 첩보 작전을 공개했습니다. CERT-EU는 유럽연합 집행위원회 클라우드 해킹을 TeamPCP 소행으로 보고, 연합 기관 30곳의 데이터가 탈취돼 ShinyHunters에 의해 유출됐다고 확인했습니다. Microsoft Defender 연구진은 Linux 서버에서 cron 작업으로 존속하는 은밀한 쿠키 제어형 PHP 웹 셸을 분석했습니다. Kaspersky는 OCR로 암호화폐 지갑 복구 문구를 훔치는 진화한 SparkCat 변종을 iOS와 Android 앱스토어에서 발견했습니다. Qilin 랜섬웨어 조직은 독일 정당 Die Linke 공격을 주장했고, LinkedIn은 “BrowserGate” 개인정보 논란 속에서 Chrome 확장 프로그램 6,000개 이상을 스캔한 것으로 드러났습니다.

🕵️ TA416, EU·NATO 외교 표적에 대한 PlugX 첩보 작전 재개

⚠️ 높음 — 유럽 정부를 겨냥한 중국 국가 지원 첩보 작전 진행 중

TA416(RedDelta, DarkPeony, Vertigo Panda로도 추적)은 OAuth 리디렉션과 Cloudflare Turnstile을 악용하는 진화한 PlugX 감염 체인으로 EU 및 NATO 외교 대표부를 여러 차례 공격하고 있습니다.

Proofpoint 연구진은 다음 조직에 관한 종합 보고서를 발표했습니다. TA416은 중국 연계 위협 행위자로, 이 지역에서 2년간 잠잠한 뒤 유럽 정부와 외교 기관을 다시 적극적으로 노리고 있습니다.

이 작전은 다음 이름으로 추적되는 클러스터와 겹칩니다. DarkPeony, RedDelta, Red Lich, SmugX, UNC6384, Vertigo Panda — 모두 중국 정부가 지원하는 정보 수집 활동과 연계됩니다.

감염 체인의 진화

TA416은 탐지를 피하려고 수법을 계속 바꾸고 있습니다.

웹 버그(추적 픽셀) — 페이로드를 보내기 전에 표적이 이메일을 열었는지 확인하도록 메시지에 삽입합니다
Cloudflare Turnstile 인증 페이지 — 사람 인증 뒤에 악성 코드 전달을 숨기는 데 악용합니다
Microsoft OAuth 리디렉션 악용 — 정상 Microsoft Entra ID 인증 엔드포인트로 피해자를 공격자 도메인에 리디렉션합니다
C# 프로젝트 파일 — 새로운 전달 수단으로 무기화합니다
Azure Blob Storage, Google Drive 및 침해된 SharePoint 인스턴스 — 악성 압축 파일을 호스팅합니다

표적 특성

표적에는 EU 및 NATO 주재 외교 대표부 여러 유럽 국가가 여기에 포함되며, 다음 지역의 정부·외교 기관도 포함됩니다. 중동 2026년 2월 말 미국·이스라엘·이란 분쟁 이후 이 지역도 표적이 됐습니다. 이 조직은 무료 이메일 발신 계정 해당 계정을 정찰과 페이로드 전달에 모두 사용합니다.

이 작전은 맞춤형 PlugX 변종 해당 변종을 DLL 사이드로딩으로 배포합니다. 이는 이 조직의 대표 수법이며, 탐지를 피하려고 페이로드를 자주 갱신합니다. 유럽 정부와 외교 부문 조직은 이메일 보안 통제를 검토하고다음을 구현하며 OAuth 리디렉션 제한을 적용하고 PlugX 침해 지표를 추적해야 합니다.

🇪🇺 CERT-EU: 유럽연합 집행위원회 클라우드 해킹으로 연합 기관 30곳 데이터 노출

⚠️ 치명적 — EU 집행위원회 데이터 90GB가 다크웹에 유출

TeamPCP는 Trivy 공급망 공격에서 훔친 AWS API 키로 유럽연합 집행위원회 클라우드 환경을 침해했습니다. ShinyHunters는 EU 기관 30곳 이상의 이름, 이메일 주소와 이메일 본문이 든 문서 90GB(압축 해제 시 340GB)를 유출했습니다.

CERT-EU 해당 기관은 유럽연합 집행위원회 클라우드 침해를 다음 조직의 소행으로 공식 판단했습니다. TeamPCP 위협 조직이며, 사고 피해가 최초 공개보다 훨씬 크다는 사실도 드러났습니다.

공격 흐름

날짜	조치
3월 10일	TeamPCP가 Trivy 공급망 공격에서 훔친 AWS API 키로 집행위원회 클라우드 계정에 접근
3월 10~24일	공격자가 TruffleHog로 추가 비밀 정보를 찾고, 탐지를 피하려고 기존 사용자에게 새 접근 키를 생성
3월 24일	집행위원회 SOC가 최초 침입 14일 뒤 비정상 활동을 처음 탐지
3월 25일	집행위원회가 CERT-EU에 통보
3월 27일	집행위원회가 사고를 공개
3월 28일	ShinyHunters가 다크웹 유출 사이트에 탈취 데이터 90GB 게시

피해 규모

집행위원회 내부 고객 42곳 그리고 그 밖의 연합 기관 29곳 이상 해당 기관들이 사용하는 europa.eu 호스팅이 영향을 받았습니다
수만 개 파일이 탈취됐으며 다음 정보가 포함됐습니다. 개인정보, 사용자 이름, 이메일 주소와 이메일 본문
침해의 발단은 다음 공격에서 탈취된 비밀 정보였습니다. Trivy 취약점 스캐너 공급망 공격 — 개발 도구 침해가 연쇄 피해로 이어졌습니다

이번 사고는 다음 위험의 파괴적인 연쇄 효과를 보여 줍니다. 개발 도구 공급망 공격입니다. 침해된 CI/CD 구성 요소 하나(Trivy GitHub Actions)가 API 키 탈취로, 다시 EU 최고 행정부의 클라우드 환경 침해로 이어졌습니다. 조직은 CI/CD 파이프라인을 통해 노출된 클라우드 인증 정보를 감사하고 수명이 짧고 범위가 제한된 API 키를 강제해야 합니다.

🐚 Microsoft, Linux에서 cron으로 존속하는 쿠키 제어형 PHP 웹 셸 분석

🟠 높음 — 기존 탐지를 피하는 은밀한 웹 셸 기법

위협 행위자는 HTTP 쿠키를 PHP 웹 셸의 제어 채널로 사용해 악성 트래픽을 정상 웹 요청과 구별하기 어렵게 만듭니다. 자가 복구 cron 작업은 웹 셸을 제거한 뒤에도 지속성을 보장합니다.

다음 조직은 Microsoft Defender Security Research Team Linux 서버에서 다음 기술을 사용하는 PHP 기반 웹 셸이 늘고 있다는 상세 분석을 발표했습니다. HTTP 쿠키를 명령제어 채널로 사용 하며 URL 매개변수나 POST 본문을 쓰지 않습니다.

왜 쿠키인가?

쿠키는 모든 HTTP 요청에 존재해 정상 웹 트래픽과 자연스럽게 섞이고, 삽입 패턴을 찾는 WAF가 거의 검사하지 않으며, PHP의 다음 슈퍼글로벌을 통해 런타임에 추가 파싱 없이 접근할 수 있습니다. $_COOKIE 해당 슈퍼글로벌 덕분에 웹 셸은 정상 애플리케이션 실행 중에는 사실상 보이지 않고특정 쿠키 값이 있을 때만 활성화됩니다.

관찰된 구현 변종 세 가지

다중 계층 PHP 로더 — 구조화된 쿠키 입력을 파싱해 인코딩된 2차 페이로드를 실행하기 전에 여러 난독화 계층과 런타임 검사를 사용합니다
분할 쿠키 재구성 — 파일 처리와 디코딩 함수 같은 작동 구성 요소를 구조화된 쿠키 데이터에 나눠 넣고, 조건에 따라 2차 페이로드를 디스크에 기록합니다
단일 쿠키 트리거 — 단일 쿠키 값을 표식으로 사용해 명령 실행과 파일 업로드를 포함한 공격자 제어 동작을 활성화합니다

자가 복구 구조

가장 우려되는 점은 공격자가 다음 항목을 설정한다는 것입니다. PHP 로더를 주기적으로 다시 만드는 cron 작업 해당 방식에서는 탐지해 제거해도 다음 예약 실행 때 cron 작업이 웹 셸을 재생성하므로, 사고 대응 정리 뒤에도 원격 코드 실행 채널이 살아남습니다.

방어자는 외부에 노출된 Linux 서버의 cron 작업을 감사하고웹 애플리케이션 로그에서 쿠키 기반 트래픽 패턴을 검사하며 웹루트 디렉터리에 파일 무결성 모니터링을 구현해야 합니다.

📱 SparkCat 암호화폐 지갑 탈취 도구, iOS·Android 앱스토어에 복귀

🟠 높음 — 공식 Apple App Store와 Google Play에서 악성 코드 발견

진화한 SparkCat 변종은 OCR로 사진 갤러리에서 암호화폐 지갑 복구 문구를 찾습니다. 기업용 메신저와 음식 배달 서비스 등 정상처럼 보이는 앱에서도 발견됐습니다.

Kaspersky 연구진은 더 정교해진 새 버전의 다음 악성 코드를 발견했습니다. SparkCat 해당 악성 코드는 정상처럼 보이는 앱에 숨어 사용자 사진 갤러리에서 암호화폐 지갑 시드 문구 스크린샷을 찾는 트로이 목마입니다.

새로 달라진 점

강화된 Android 난독화 — 코드 가상화와 크로스플랫폼 프로그래밍 언어로 분석을 방해합니다
키워드 검색 확대 — 이제 영어뿐 아니라 일본어, 한국어, 중국어 키워드도 노립니다
더 넓어진 iOS 변종의 범위 — 영어 니모닉 문구를 집중적으로 검색해 특정 지역에 제한되지 않습니다
App Store에서 감염 앱 2개, Google Play에서 1개 발견 — 주로 아시아 암호화폐 사용자를 표적으로 삼습니다

작동 방식

SparkCat은 여러 앱에서 일반적인 권한인 갤러리 접근을 허용받으면 다음 기술을 사용합니다. 광학 문자 인식(OCR) 모델 해당 모델로 저장된 이미지의 글자를 분석합니다. 지갑 복구 문구나 시드 단어를 식별하면 이미지를 공격자 서버로 몰래 유출합니다. 악성 코드는 특정 앱 시나리오에서 사진 접근이 실행될 때까지 비활성 상태로 남습니다.

Kaspersky는 이 작전의 운영자를 다음과 같이 판단했습니다. 중국어권 운영자 해당 운영자의 악성 코드가 계속 진화하고 있다고 설명했습니다. 사용자는 지갑 복구 문구를 절대 스크린샷으로 남기지 말고 종이나 금속에 적어 오프라인으로 보관해야 합니다. 앱 권한을 정기적으로 검토하고 모바일 보안 솔루션을 사용하십시오.

🏛️ Qilin 랜섬웨어, 독일 정당 Die Linke 공격 주장

다음 조직은 Qilin 랜섬웨어 조직으로, 3월 27일 다음 정당을 공격했다고 주장했습니다. Die Linke (좌파당)는 독일 연방의회 의원 64명과 등록 당원 12만 3,000명을 둔 독일 정당입니다.

주요 내용:

공격자는 다음 정보를 공개하겠다고 위협합니다. 민감한 당 내부 데이터와 직원 개인정보
정당의 당원 데이터베이스는 침해되지 않았으며 공격자는 당원 데이터를 확보하지 못했습니다
Die Linke는 Qilin을 “러시아어권 사이버 범죄자” Die Linke 측은 이렇게 규정하며 금전적·정치적 동기가 모두 있다고 봅니다
정당은 이번 공격이 “우연으로 보이지 않는다”고 밝히며 하이브리드 전쟁의 일부로 규정했습니다
4월 1일 Qilin은 데이터 샘플을 공개하지 않은 채 다크웹 유출 사이트에 Die Linke를 올렸습니다

이는 다음과 같은 반복 양상을 잇습니다. 러시아 연계 위협 행위자의 독일 정당 표적화 이런 양상은 이어지고 있습니다. 2024년 Mandiant는 APT29가 WineLoader 백도어로 CDU를 노린 사실을 밝혔습니다. 독일 정치 조직은 스스로를 다음 표적으로 간주하고 고가치 표적 견고한 백업과 사고 대응 역량을 갖춰야 합니다.

🔍 LinkedIn “BrowserGate” — Chrome 확장 프로그램 6,000개 이상 몰래 스캔

다음 이름의 보고서는 “BrowserGate” Fairlinked e.V.가 이 이름으로 작성했으며, Microsoft의 LinkedIn이 숨겨진 JavaScript로 다음 행위를 한다고 밝혔습니다. 방문자 브라우저에서 설치된 Chrome 확장 프로그램 6,236개를 스캔 하고 광범위한 기기 지문 데이터를 수집합니다.

LinkedIn이 수집하는 정보

확장 프로그램 탐지 — 확장 프로그램별 파일 리소스를 탐색해 6,236개를 확인합니다(2025년 2,000개에서 증가)
기기 지문 — CPU 코어 수, 사용 가능 메모리, 화면 해상도, 시간대, 언어, 배터리 상태, 오디오 정보, 저장소 기능
경쟁 정보 — 스캔 대상 중 200개 이상은 LinkedIn의 영업 도구와 직접 경쟁합니다(Apollo, Lusha, ZoomInfo)

BleepingComputer는 독립적으로 확인했습니다. 무작위 파일 이름의 JavaScript가 LinkedIn 웹사이트에서 로드됩니다. LinkedIn은 확장 프로그램 탐지를 부인하지 않으며 다음 목적이라고 주장합니다. “회원의 개인정보 보호” 또 다른 목적은 스크래핑 관련 확장 프로그램 탐지입니다. 보고서는 LinkedIn이 이 데이터로 어느 회사가 어떤 경쟁 제품을 쓰는지 파악해, 사실상 브라우저 데이터로 경쟁사 고객 명단을 만든다고 주장합니다.

이는 EU에서 다음 법률과 관련된 심각한 의문을 제기합니다. GDPR과 ePrivacy 관련 법률상 쟁점이 큽니다. 브라우저 지문을 우려하는 사용자는 다음 방안을 고려해야 합니다. 브라우저 프로필 분리, 확장 프로그램 격리, 강화된 추적 방지 기능이 있는 Brave 또는 Firefox.

📋 단신

Hims & Hers 데이터 침해: 원격의료 대기업은 다음 조직이 일으킨 데이터 침해를 경고했습니다. ShinyHunters 해당 조직은 Okta SSO 계정을 침해해 Zendesk 인스턴스에 접근하고 지원 티켓 수백만 건을 훔쳤습니다. 이름, 연락처 정보와 지원 요청 내용이 노출됐습니다.
내부자 위협 — Windows 기기 잠금: 전직 핵심 인프라 엔지니어가 뉴저지주 고용주를 협박하려다 Windows 관리자들의 다음 서버 접근을 막은 혐의를 인정했습니다. 서버 254대 피해 규모가 이 정도에 이릅니다.
Microsoft Exchange Online 문제: Outlook 모바일과 macOS 사용자의 사서함 접근 문제가 수 주째 계속되고 있으며 Microsoft는 여전히 해결책을 마련 중입니다.
Claude Code 악성 코드 작전: 유출된 Claude Code 소스가 있다고 주장하는 가짜 GitHub 저장소가 다음 악성 코드를 유포합니다. Vidar 정보 탈취 도구 해당 악성 코드는 Google 검색 상위에 노출돼 개발자를 유인합니다.
Windows 11 25H2 강제 업그레이드: Microsoft는 관리되지 않는 Windows 11 24H2 Home·Pro 기기를 25H2로 강제 업그레이드하기 시작했습니다. IT 팀은 Group Policy 또는 Intune 통제가 적용돼 있는지 확인해야 합니다.

🛡️ 권고 조치

유럽 정부 기관: TA416/PlugX 침해 지표를 추적하십시오. OAuth 리디렉션 흐름을 제한하고 피싱 체인의 Cloudflare Turnstile 악용을 감시하십시오. 외교 인력에게 웹 버그와 스피어피싱 수법을 교육하십시오.
클라우드 보안: 모든 AWS API 키, 특히 CI/CD 파이프라인과 개발 도구를 통해 노출된 키를 감사하십시오. 수명이 짧은 인증 정보를 구현하고 클라우드 관리 계정에 MFA를 강제하며 TruffleHog 같은 인증 정보 검색 도구를 감시하십시오.
Linux 서버 관리자: 외부에 노출된 모든 서버의 cron 작업에서 의심스러운 PHP 로더 호출을 감사하십시오. 웹루트에 파일 무결성 모니터링을 구현하고 웹 서버 로그의 HTTP 쿠키에서 비정상적인 구조화 데이터를 검사하십시오.
암호화폐 사용자: 지갑 복구 문구를 절대 스크린샷으로 남기지 말고 오프라인으로만 보관하십시오. iOS와 Android의 앱 권한을 검토하고 갤러리 접근을 요구하는 낯선 앱을 삭제하며 모바일 보안 솔루션을 사용하십시오.
독일 조직: 정당과 정부 기관은 스스로를 랜섬웨어의 최우선 표적으로 간주해야 합니다. 오프라인 백업, 사고 대응 계획과 직원 보안 인식 교육을 최신 상태로 유지하십시오.
개인정보를 중시하는 사용자: LinkedIn 전용 브라우저 프로필을 사용하십시오. 지문 수집을 줄이려면 확장 프로그램 격리나 강화된 추적 방지 기능이 있는 브라우저를 고려하십시오.

위협의 변화보다 앞서가십시오

잡음 없는 일일 보안 인텔리전스를 받아보십시오.

KENSAI 살펴보기 →

KENSAI 보안 브리핑 — 2026년 4월 4일
Proofpoint, CERT-EU, Microsoft Defender Research, Kaspersky, BleepingComputer, The Hacker News, Fairlinked e.V.의 인텔리전스 피드를 바탕으로 작성했습니다.