← 블로그로 돌아가기

2026년 5월 6일 보안 브리핑: Quasar Linux, DAEMON Tools 공급망, Instructure 사고 여파와 CloudZ OTP 탈취

오늘 아침의 공통 양상은 모든 계층에서 벌어진 신뢰 악용입니다. 방어자가 익숙한 도구를 본질적으로 안전하다고 여기는 순간, 개발자 워크스테이션, 서명된 설치 프로그램, SaaS 데이터 내보내기, 데스크톱과 휴대전화의 연동 기능이 모두 공격 경로로 바뀌었습니다.

---

---

1. Quasar Linux는 개발 환경을 공급망 공격의 발판으로 바꿉니다

Trend Micro에 따르면 기존에 문서화되지 않았던 QLNX 임플란트는 npm, PyPI, GitHub, AWS, Docker, Kubernetes를 사용하는 개발자 및 DevOps 환경에 은밀하게 지속성을 확보하도록 설계됐습니다. 호스트에서 루트킷과 PAM 백도어 구성 요소를 컴파일하고, 파일 없이 실행되며, 흔적을 지우고, 소프트웨어 배포 과정에 가장 가까이 있는 자격 증명을 수집합니다.

• 탈취된 개발자 키, 클라우드 토큰, 패키지 게시 자격 증명을 탐지하는 작업을 우선하십시오.
• Linux 워크스테이션과 CI 인접 호스트에서 의심스러운 LD_PRELOAD, systemd, crontab, .bashrc 지속성 흔적을 확인하십시오.
• 패키지 서명이나 레지스트리 접근 권한이 노출됐다면 개발자 엔드포인트 한 대의 침해가 고객에게까지 이어질 수 있다고 가정하십시오.

---

2. DAEMON Tools 침해는 공식 사이트의 서명된 소프트웨어만으로는 충분하지 않음을 입증했습니다

Kaspersky는 4월 8일부터 공급업체의 정상 웹사이트에서 배포된 Windows용 DAEMON Tools 설치 프로그램이 트로이목마로 변조됐고, 공급업체 자체 인증서로 서명돼 있었다고 밝혔습니다. 침해된 설치 체인은 호스트 정보 수집 도구와 명령 실행 및 메모리 내 페이로드 전달이 가능한 백도어를 심었습니다. 감염 시도는 수천 건에 달했지만 후속 공격 대상은 선별됐습니다.

• Windows에서 DAEMON Tools 12.5.0.2421부터 12.5.0.2434까지 실행하는 호스트를 식별하고 격리하십시오.
• DTHelper.exe, DiscSoftBusServiceLite.exe, DTShellHlp.exe와 연관된 외부 통신 및 시작 시 실행 흔적을 검토하십시오.
• 이번 사고를 신뢰 앵커의 실패로 다루십시오. 서명된 바이너리와 공식 다운로드 경로에도 행위 기반 검증이 필요합니다.

---

3. Instructure 침해 여파는 테넌트 규모의 데이터 거버넌스 문제로 번지고 있습니다

BleepingComputer에 따르면 Instructure 사고의 배후로 지목된 공격자는 학교, 대학, 교육 플랫폼 8,809곳과 연결된 2억 8천만 건의 레코드를 탈취했다고 주장합니다. 이 주장은 아직 완전히 독립 검증되지 않았지만, 주장된 탈취 경로가 명백한 서비스 파괴가 아니라 정상적인 Canvas 내보내기와 API 기능을 이용했다는 점에서 그 규모만으로도 고객 측 검토를 시작하기에 충분합니다.

• 조직에서 Canvas를 사용한다면 완벽한 공급업체 타임라인을 기다리지 말고 내보내기 로그, API 활동, 비정상적인 보고서 접근부터 확인하십시오.
• 교육 환경에서는 침해 사고의 불확실성이 확인된 사실보다 빠르게 퍼지므로 기관 차원의 안내를 지금 준비하십시오.
• 타사 학습 플랫폼이 메시지, 등록 데이터, 신원 속성에 기본적으로 지나치게 넓은 접근 권한을 갖는지 다시 평가하십시오.

---

4. CloudZ는 엔드포인트가 연동 경로를 장악하면 SMS OTP가 왜 무너지는지 보여줍니다

Cisco Talos에 따르면 Pheno라는 새로운 CloudZ 플러그인은 침해된 Windows 호스트에서 Microsoft Phone Link를 악용해 SMS와 인증 앱 알림을 훔칩니다. 데스크톱에 메시지 데이터베이스와 알림으로 이어지는 동기화 경로가 이미 있다면 공격자는 모바일 기기 전체를 장악할 필요가 없습니다.

• 가능한 경우 민감한 사용자를 SMS 기반 OTP에서 하드웨어 키 또는 피싱 방지형 인증 수단으로 전환하십시오.
• 가짜 ScreenConnect 업데이트, 예약 작업을 이용한 지속성, Phone Link SQLite 데이터에 대한 비정상 접근을 찾으십시오.
• 연동된 워크스테이션이 감염됐다면 “휴대전화는 침해되지 않았다”는 사실이 더 이상 OTP의 안전을 뜻하지 않는다는 점을 대응 담당자에게 교육하십시오.

---

오늘 보안팀이 해야 할 일

1. 개발자 엔드포인트와 CI 인접 Linux 시스템을 먼저 감사하십시오. 피해 범위는 워크스테이션 한 대보다 큽니다.
2. Windows 환경 전체에서 DAEMON Tools 노출을 조사하고, 공급업체 서명이 침해됐다면 신뢰하던 설치 프로그램도 사고 대응 대상이 될 수 있다고 가정하십시오.
3. 교육 및 SaaS 공급업체에 일반적인 사고 설명이 아니라 내보내기와 API 접근을 포함한 테넌트별 증거를 요구하십시오.
4. SMS OTP 의존도를 낮추고 신원 위협 모델링에 데스크톱·모바일 동기화 도구를 포함해 검토하십시오.

---

---

결론: 오늘의 위험은 이례적인 제로데이보다 익숙한 시스템이 조용히 과도한 신뢰를 물려받는 데 있습니다. 공격자가 세 경로를 한꺼번에 악용하기 전에 소프트웨어 경로, 신원 경로, 동기화 경로를 검증하는 것이 최선의 대응입니다.