보안 브리핑읽는 데 4분2026년 4월 27일

2026년 4월 27일 보안 브리핑: Teams를 통한 Snow 악성코드, Itron 유틸리티망 침해, App Store의 FakeWallet, LMDeploy의 13시간 경고

오늘 아침 드러난 양상은 불쾌할 만큼 일관됩니다. 신뢰받는 지원 채널과 기반 시설, 앱 스토어, AI 도구가 모두 공격자의 고속 침투 경로로 바뀌고 있습니다.

핵심: 대부분의 팀이 아침 회의를 마치기도 전에 살펴야 할 사건이 네 가지입니다. 도메인 전체 침해로 이어지는 채팅 기반 사회공학, 유틸리티 기업 내부망 침해, App Store를 통한 지갑 탈취, 그리고 공개 후 반나절 만에 악용된 AI 서빙 취약점입니다.

1. Snow 악성코드는 Microsoft Teams 헬프데스크에 대한 신뢰를 도메인 침해 경로로 바꿉니다

Google Mandiant에 따르면 UNC6692는 이메일 폭탄 공격과 가짜 Microsoft Teams 헬프데스크 연락을 결합해 피해자가 위조 스팸 방지 패치를 설치하도록 유도합니다. 이 패치는 브라우저 지속성을 확보하는 SnowBelt, 터널링에 쓰이는 SnowGlaze, 명령을 실행하는 SnowBasin으로 구성된 Snow 도구 세트를 투하합니다. 이후 공격자는 LSASS를 덤프하고 내부망에서 횡적으로 이동하며 Active Directory 자료를 빼냅니다. 이는 더 이상 평범한 피싱이 아닙니다. 지원 채널에 대한 신뢰를 무기화해 네트워크 깊숙이 침투하는 공격입니다.

예고 없이 Teams로 접근하는 IT 지원은 별도 채널에서 확인하기 전까지 적대적인 요청으로 취급하십시오.
Quick Assist, 예약 작업, 브라우저 확장 프로그램, 자격 증명 탈취 원격측정 정보를 서로 연계해 분석하십시오.
가짜 패치가 실행됐다면 즉시 횡적 이동 가능성을 전제로 대응하십시오.

2. 고객 피해가 확인되지 않았더라도 Itron 내부 IT 침해는 핵심 기반 시설에 대한 경고입니다

Itron은 일부 내부 시스템에 무단 접근이 발생했다고 공개했으며, 공격 활동을 차단하고 조사에 착수했고 현재 중대한 운영 장애는 없다고 밝혔습니다. 다행스러운 소식이지만 방심할 이유는 아닙니다. Itron의 기술은 전 세계 에너지와 수도 환경의 유틸리티 운영에 깊이 자리 잡고 있습니다. 이처럼 광범위하게 연결된 공급업체가 내부 침해를 보고했다면 유틸리티와 인접 사업자는 이를 망 분리, 공급업체 접근, 사고 대응 준비 태세를 다시 점검하라는 경고로 받아들여야 합니다.

기업 IT, 유틸리티 운영망, 공급업체 관리 시스템 사이의 분리가 제대로 유지되는지 다시 확인하십시오.
유틸리티 공급업체와 핵심 제3자 플랫폼을 대상으로 한 사고 대응 절차서를 검토하십시오.
내부 IT 침해를 운영 위험으로 확대할 수 있는 특권 접근과 원격 접근 경로를 감사하십시오.

3. Apple App Store의 FakeWallet은 신뢰받는 모바일 유통망도 여전히 탈취 경로임을 보여줍니다

연구진은 주요 지갑을 흉내 낸 앱을 포함해 암호화폐 복구 문구와 개인 키를 노리는 FakeWallet 앱 26개를 Apple App Store에서 발견했습니다. 일부 앱은 사용자를 트로이목마가 심어진 지갑 설치 절차로 유도했으며, 보도에서는 중국 지역 App Store에서의 유통도 지적했습니다. 교훈은 암호화폐에만 국한되지 않습니다. 브랜드 모방이 정교하고 모바일 환경에 대한 신뢰가 충분하면, 신뢰받는 앱 스토어조차 자격 증명과 자산을 훔치는 전달 경로가 될 수 있습니다.

“검증” 절차나 지갑 교체 안내에서 시드 문구를 입력해서는 안 된다고 사용자에게 경고하십시오.
MDM과 모바일 위협 방어 기능을 활용해 위험한 앱 설치, 사이드로딩 행위, 신뢰할 수 없는 프로필을 제한하십시오.
핫 월렛과 콜드 월렛의 복구 절차 모두 피싱과 화면 오버레이 악용의 고가치 표적으로 취급하십시오.

4. 주시 대상: LMDeploy는 AI 취약점의 악용 유예 시간이 급격히 줄고 있음을 입증합니다

오픈소스 LLM 서빙 스택의 SSRF 취약점인 LMDeploy CVE-2026-33626은 공개 후 12시간 31분 만에 악용된 것으로 알려졌습니다. AI 기반 시설을 평범한 내부 소프트웨어처럼 배포하는 조직이라면 두려워해야 할 수치입니다. 이제 보안 권고와 공격용 프롬프트 사이의 간격이 너무 짧아져 패치 지연 자체가 곧 노출이 됩니다.

보안팀이 오늘 해야 할 일

Teams 기반 지원 절차를 모두 다시 검증하고, 긴급한 헬프데스크 요청은 별도 채널에서 반드시 확인하도록 하십시오.
특히 공급업체와 원격 관리 경로를 중심으로 핵심 기반 시설과 내부망의 분리 가정을 재검토하십시오.
모바일 지갑 보안 수칙을 즉시 안내하고, 기기 관리 기능이 허용하는 범위에서 위험한 설치 행위를 차단하십시오.
AI 서빙 구성 요소를 신속히 패치하고, 모델 기반 시설이 메타데이터 주소와 루프백에 접근하지 못하게 하며 불필요한 외부 통신을 기본적으로 차단하십시오.

출처

결론: 오늘 아침 드러난 양상은 불쾌할 만큼 일관됩니다. 신뢰받는 지원 채널과 기반 시설, 앱 스토어, AI 도구가 모두 공격자의 고속 침투 경로로 바뀌고 있습니다.

사고가 일어나기 전에 신뢰가 무너지는 지점을 찾아내십시오

KENSAI는 공격자가 신뢰를 접근 권한으로 바꾸기 전에 팀이 신원 확인 절차, 내부 기반 시설, 모바일 소프트웨어 공급망, AI 서빙 스택에 노출된 공격 경로를 찾아내도록 지원합니다.

무료 스캔 →

항상 경계를 늦추지 마십시오.

🗡️ KENSAI 보안팀