← 보안 블로그로 돌아가기

보안 브리핑: TriZetto 의료정보 침해, 중국의 통신사 공격과 Wikipedia 웜 — 2026년 3월 7일

의료 IT 침해로 환자 340만 명의 기록이 노출됐고, 중국 연계 해커들은 남미 통신 인프라에 신종 임플란트 세 종을 배포했습니다. Wikipedia에서는 자가 전파형 JavaScript 웜이 발생했으며, 다단계 악성코드 캠페인은 파일리스 실행으로 RAT 세 종을 전달했습니다. 오늘 알아야 할 내용을 모두 정리합니다.

---

🏥 TriZetto 의료정보 침해로 환자 340만 명의 기록 노출

공격 대상은 보험 자격 확인에 쓰이는 웹 포털이었습니다. 유출된 데이터는 다음과 같습니다.

성명

• 및 실제 주소 사회보장번호
• 생년월일
• 건강보험 가입자 번호
• Medicare 수급자 식별자
• 의료기관 및 보험사 이름
• 인구통계·건강·보험 정보
• 사건 경과와 대응

날짜

사건	2024년 11월 19일
무단 접근 시작	2025년 10월 2일
의심스러운 활동 탐지	2025년 12월 9일
영향받은 의료기관에 통지	2026년 2월
고객 통지 시작	2026년 3월 6일
Maine 법무장관 신고를 통해 피해자 340만 명 확인	💡 핵심 우려

---

⚠️ 공격받는 핵심 인프라

임플란트

표적 플랫폼	기능	TernDoor
Windows	wsprint.exe를 이용한 DLL 사이드로딩, 내장 커널 드라이버를 통한 프로세스 조작, C2 통신	PeerTime
(angrypeer) Linux	백도어 접근, 파일 작업, 시스템 정찰	BruteEntry
네트워크 엣지 장비	엣지 장비 지속성 확보, 네트워크 트래픽 가로채기	배후와 연계 관계

UAT-9244는

FamousSparrow와 긴밀히 연계돼 있으며, 전술 면에서는Salt Typhoon과도 겹칩니다. Salt Typhoon은 전 세계 통신 사업자를 표적으로 삼아 악명 높은 중국계 조직입니다. TernDoor는 CrowDoor/SparrowDoor의 변종으로, 새 명령 코드와 프로세스 제어용 Windows 드라이버를 내장합니다.주요 기술 세부 사항:

초기 접근

• — 오래된 Windows Server 및 Exchange Server 인스턴스를 악용하고 웹 셸 배포 지속성
• — 예약 작업과 Registry Run 키 사용 자가 삭제
• — TernDoor는 -u 스위치로 흔적을 완전히 제거할 수 있음 다중 플랫폼 범위
• — Windows, Linux, 엣지 장비를 동시에 침해 🎯 전략적 영향

---

⚠️ Wikimedia Meta-Wiki 훼손

공격은 Wikipedia의 JavaScript 사용자 지정 기능, 구체적으로 편집자 브라우저에서 실행되는

MediaWiki:Common.js와 User:<username>/common.js 스크립트를 악용했습니다. 발원지 — 악성 스크립트(

1. User:Ololoshka562/test.js )가 2024년 3월경 러시아어 Wikipedia에 업로드됨촉발— 테스트 중 Wikimedia 직원 계정이 이 스크립트를 실행한 것으로 보이며 우발적 실행 가능성도 있음
2. 사용자 수준 전파 — 로그인한 각 편집자의
3. common.js를 악성 스크립트 로더로 덮어씀 사이트 전체 권한 상승 — 감염된 사용자가 관리자 권한을 가졌다면 전역
4. MediaWiki:Common.js가 변조되어 모든 편집자에게 영향 훼손 — 자동 편집으로 Meta-Wiki 페이지에 숨은 스크립트와 훼손 내용 추가
5. 봉쇄 Wikimedia 엔지니어들은

모든 프로젝트의 편집을 일시적으로 제한하고

조사와 변경사항 되돌리기를 진행했습니다. 이 사건은 협업 플랫폼에서 사용자가 지정할 수 있는 JavaScript가, 특히 권한 계정이 신뢰할 수 없는 코드를 실행할 때 공격 경로가 될 수 있음을 보여줍니다. 🛡️ 조직이 얻어야 할 교훈 사용자 업로드 JavaScript를 허용하는 플랫폼은 모두 비슷한 위험을 안고 있습니다. 조직은

---

Securonix 연구진은

기법

목적	1	피싱으로 난독화된 배치 스크립트 전달
초기 접근, 미끼 PDF 표시	2	두 번째 배치 스크립트 배포
조정 계층	3	정상 Python 런타임 준비
이식성 확보, 신뢰받는 바이너리 악용	4	암호화된 셸코드 복호화
페이로드 준비	5	explorer.exe에 Early Bird APC 인젝션
메모리 내 RAT 실행	위험한 이유	완전한 파일리스 방식

— RAT이 프로세스 인젝션을 통해 전적으로 메모리에서 실행됨

• 정상 도구 악용 — 내장 Python 런타임과 관리자 작업처럼 보이는 배치 스크립트 사용
• 세 가지 페이로드 — 중복성을 위해 XWorm, AsyncRAT, Xeno RAT을 동시에 배포
• TryCloudflare 악용 — 최초 전달에 Cloudflare의 무료 터널링 서비스 사용
• 미끼로 주의 분산 — 전체 화면 PDF 청구서를 띄우는 동안 백그라운드에서 조용히 실행
• 💰 가나 국적자, 1억 달러 규모 BEC 사기 조직 가담 인정 🏛️ 대규모 국제 사기 조직 단속

---

가나 국적자 한 명이 기업 이메일 침해(BEC)와 로맨스 스캠으로 미국 전역 피해자에게서

수년간 인식 제고 캠페인이 이어졌는데도 여전한 효과를 보여줍니다. 핵심 시사점은 다음과 같습니다. BEC는 여전히 금융 사이버범죄 피해액 1위 — FBI IC3 자료에서 BEC 피해액은 일관되게 랜섬웨어보다 큼

• 국제 공조 — 기소 과정에 국경을 넘는 법 집행기관 공조가 동원됨
• 복합 전술 — 수익을 극대화하려 기업 대상 BEC와 개인 대상 로맨스 스캠을 함께 사용
• 자금세탁망 — 정교한 대포통장·자금 운반책 네트워크로 탈취금을 이동
• 🔍 Bing AI, 정보탈취 악성코드를 퍼뜨리는 가짜 OpenClaw GitHub 저장소 홍보 ⚠️ 무기화된 AI 검색 결과

---

Microsoft의

권위 있어 보이는 형식으로 악성 콘텐츠를 홍보하도록 조작될 수 있음을 보여주기 때문입니다. SEO 포이즈닝과 AI의 결합 — 공격자가 Bing의 AI 요약 기능을 악용해 가짜 저장소를 검색 상단에 노출

• 신뢰받는 맥락 — AI가 선별한 결과를 신뢰한 사용자는 설치 안내를 따를 때 경계심을 낮출 수 있음
• 전달 플랫폼이 된 GitHub — 정상 도구를 흉내 낸 악성 저장소가 계속 증가하는 공격 경로로 작용
• 이중 페이로드 — 피해자는 자격증명을 훔치는 정보탈취 도구와 피해자 장비를 릴레이 노드로 쓰는 프록시 악성코드를 함께 받음
• 🛡️ 보호 지침 소프트웨어 저장소는 검색 결과가 아니라

---

웹 포털 접근 통제 감사

— 모든 환자 데이터 시스템에 MFA 적용

1. 장기 체류 침입 모니터링 — 지속적인 무단 접근을 탐지하도록 행위 분석 배포
2. 공급업체 보안 검토 — 제3자 의료 IT 제공업체의 보안 태세 평가
3. 통신 및 핵심 인프라 Exchange와 Windows Server 패치

— UAT-9244는 오래된 시스템을 악용함

1. 엣지 장비 모니터링 — 네트워크 경계 장비에서 BruteEntry 침해지표 확인
2. DLL 사이드로딩 추적 — 의심스러운 wsprint.exe 활동 탐색
3. 모든 조직 CSP 헤더 적용

— 웹 플랫폼의 JavaScript 실행 제한

1. 파일리스 공격 모니터링 — Early Bird APC 인젝션 패턴을 탐지하도록 EDR 조정
2. 소프트웨어 출처 검증 — 검증 없이 AI 검색 결과의 도구를 설치하지 말 것
3. BEC 인식 교육 — 청구서와 결제 변경 요청의 검증 절차 강화
4. 📊 위협 환경 요약 위협

---

공격 주체

위협	심각도	심각도	조치 필요
필요 조치	TriZetto 의료정보 침해	미상	🔴 치명적
의료 공급업체 보안 감사, 신원 도용 모니터링	UAT-9244 통신사 공격	중국 연계	🔴 치명적
서버 패치, TernDoor/PeerTime/BruteEntry 추적	Wikipedia JS 웜	미상	🟠 높음
CSP 적용, 권한 스크립트 실행 제한	VOID#GEIST RAT 세 종	사이버범죄자	🔴 치명적
파일리스 공격 모니터링, TryCloudflare 악용 차단	1억 달러 BEC 사기 조직	조직범죄	🟠 높음
BEC 인식과 결제 검증 강화	Bing AI를 통한 가짜 저장소	사이버범죄자	🟠 높음