보안 동향
2026년 9월 4주차 동향 보고서
2026년 9월 4주차에는 개발자와 운영 환경을 겨냥한 사건이 여러 갈래로 보고됐다. WaterPlum으로 추적되는 북한 연계 활동은 채용 사칭을 통해 개발자 기기와 암호화폐 지갑을 침해한 사례로 제시됐고, Graphalgo는 Terraform 공급자와 Go 모듈로 유포 범위를 넓혔다. 별도로 CLOSEDQUORUM과 CARBONATO는 AI 모델 또는 AI 에이전트를 악성 동작의 의사결정이나 명령 처리에 결합한 사례로 보고됐으며, RemControl은 Android 금융 이용자를 상대로 접근성 권한과 오버레이를 악용했다.
주요 동향
WaterPlum 채용 사칭 침해
WaterPlum으로도 추적되는 북한 연계 행위자는 Contagious Interview 캠페인에서 채용 담당자나 잠재 고용주로 위장해 개발자와 Web3 분야 종사자에게 접근한 것으로 제시됐다. 기사들은 2025년 12월부터 2026년 7월까지 100개국 이상에서 최소 3만 대의 기기가 감염됐고, 7,000개가 넘는 암호화폐 지갑에서 자금 또는 계정 자격증명이 탈취됐다고 전했다. 일본과 미국 관계 기관은 탈취한 가상자산이 북한으로 이전됐다고 평가했으며, 일부 보도는 WaterPlum 조직원 및 북한 IT 인력이 북한 군수공업부 산하 조직과 연계돼 활동한다고 밝혔다.
접근 방식은 AI, 암호화폐, NFT 기업을 사칭한 채용 면접, 코딩 테스트, 과제 수행 요구에 집중됐다. 공격자는 사회관계망 서비스, 구직 게시판, 프리랜서 플랫폼에서 표적에게 연락했고, 악성 프로젝트, 패키지 또는 파일을 실행하도록 유도했다. 이 과정에서 BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle이 언급됐으며, 보도에 따르면 이 악성코드들은 원격 접근 유지, 브라우저 로그인 정보와 지갑 키, 신분증 이미지, 화면 캡처, 프로젝트 파일 탈취에 사용됐다. StoatWaffle은 피해자가 신뢰한 Visual Studio Code 프로젝트를 열 때 코드가 실행되도록 숨겨질 수 있다는 설명도 제시됐다.
여러 보도는 감염된 개발자 계정과 장비가 피해자의 고용주나 고객 환경으로 이어질 수 있다고 설명했다. 이는 실제 후속 침투가 모든 사례에서 확인됐다는 뜻이 아니라, 개발자가 보유한 소스 코드, 자격증명, 프로젝트 접근 권한 때문에 내부망 침입, 지식재산 탈취, 측면 이동의 경로가 될 수 있다는 사건의 위험 범위를 나타낸다. 별도 보도에서는 Rust 생태계의 기여자와 인기 크레이트 소유자를 겨냥한 채용 사칭 활동도 Contagious Interview와 중첩된다고 경고했다.
CLOSEDQUORUM AI 의사결정 임플란트
CLOSEDQUORUM은 Windows에서 실행되는 AI 기반 원격제어 임플란트로 보고됐다. Cisco Talos는 이 악성코드가 호스트 정보와 권한 상태를 상용 대형 언어 모델 여러 개에 전달하고, 모델 응답을 다수결로 모아 탈취, 주입, 지속성 확보, 이동 가운데 다음 행동을 선택하도록 설계됐다고 설명했다. 공개된 표본에는 자리표시자 API 자격증명과 더미 웹훅이 포함돼 있어 실제 표적 환경에서의 종단간 실행은 확인되지 않았다.
기능 설명은 내장된 후보 행동의 구체성에 맞춰 제시됐다. 탈취 기능은 LSASS 메모리 덤프, Chrome, Edge, Firefox의 저장 비밀번호 수집, 암호화폐 지갑 데이터 탐색을 포함한다. 주입 기능은 process hollowing 또는 Early Bird APC 주입으로 페이로드를 실행하도록 구성됐고, 지속성은 Registry Run 키, 예약 작업, 영구 WMI 이벤트 구독을 사용한다. 수집 자료는 암호화와 인코딩을 거쳐 공격자가 통제하는 Discord 웹훅으로 전송되는 것으로 설명됐다.
이 사건의 핵심 변화는 전용 공격자 C2 서버의 지속적인 명령 대신 AI 제공자 호출과 정형화된 의사결정 루프가 악성 동작 선택 계층으로 쓰였다는 점이다. 다만 기사들이 확인한 것은 설계와 정적 분석 결과이며, 공개 배포본의 비활성 템플릿 성격 때문에 실제 운영 환경에서 모델 투표부터 자료 전송까지 완결된 실행이 관측됐다고 단정하지 않았다.
CARBONATO Docker 봇넷
CARBONATO는 인증 없이 인터넷에 노출된 Docker 데몬을 침투 경로로 삼아 Linux 호스트를 감염시키고 주변 네트워크로 확산하는 봇넷으로 보고됐다. 이 활동은 새로운 Docker 취약점 악용이 아니라, 외부에 노출된 관리 권한을 이용해 권한 있는 컨테이너를 실행하고 호스트 파일 시스템, 프로세스, 네트워크 영역에 접근하는 방식으로 설명됐다. ThreatDown은 공개 Docker 레지스트리에서 이 작전의 이미지와 설정 정보를 확보했으며, 해당 레지스트리가 감염 호스트의 이식체 업데이트 서버로도 쓰였다고 밝혔다.
감염 뒤에는 역방향 SSH 터널과 공격자 SSH 키를 설치해 재접속 경로를 만들고, cron, systemd 타이머, rc.local, OpenRC 같은 실행 지점으로 재부팅 이후에도 접근을 유지한다. 감시 구성요소는 컨테이너가 제거되면 레지스트리에서 이식체를 다시 내려받도록 구성됐고, 컨테이너와 프로세스 이름은 정상 Linux 구성요소처럼 보이도록 위장됐다고 보도됐다. 감염 호스트는 연결된 네트워크와 Docker 브리지 주변을 주기적으로 탐색해 인증 없는 Docker 데몬을 찾고 같은 절차를 반복한다.
CARBONATO는 정상 오픈소스 Hermes Agent 전체를 악성 프로그램으로 바꿨다고 설명되지 않았다. 보도들은 이식체가 Hermes Agent의 역할 설정 파일만 덮어써 GH0ST라는 에이전트가 Telegram에서 받은 작업을 처리하게 했다고 설명했다. 이 에이전트는 언어 모델 게이트웨이에 작업을 전달해 호스트 명령을 생성하고, AI API 키, SSH 자격증명, 접근 토큰, 데이터베이스 자격증명 같은 정보를 수집 대상으로 삼았다. 운영자는 코스타리카와 연관됐을 가능성만 제시됐고, 알려진 위협 클러스터로의 귀속은 확정되지 않았다.
RemControl Android 뱅킹 트로이목마
RemControl은 서유럽, 중동, 캐나다의 소매 금융 이용자를 겨냥한 Android 뱅킹 트로이목마로 보고됐다. UNKK로 추적된 운영자는 TVTap IPTV 앱을 사칭한 가짜 Google Play Store 페이지와 악성 광고를 유입 경로로 사용했으며, 일부 유포에서는 지역과 모바일 사용자 환경을 확인한 뒤 악성 APK 설치로 이어지게 했다. Group-IB는 30곳 이상 금융기관을 겨냥한 피싱 오버레이를 확인했고, RemControl이 2026년 5월 이후 MaaS 형태로 활동한 것으로 평가했다.
설치 과정에서 드로퍼는 가짜 업데이트 화면을 보이고 VPN 권한과 접근성 서비스 권한을 요구한다. VPN 서비스는 Google Play Store 또는 Play Protect 관련 네트워크 통신을 방해하는 데 사용된 것으로 설명됐고, 설치마다 고유 서명 인증서를 생성하거나 패커와 문자열 난독화를 사용하는 회피 요소도 보고됐다. 접근성 권한을 확보한 뒤에는 정상 뱅킹 앱 위에 전체 화면 오버레이를 표시해 PIN, 모바일 뱅킹 코드, 카드 정보, 로그인 자격증명을 수집한다.
RemControl은 단순한 오버레이 표시를 넘어 화면 스트리밍, UI 요소 수집, 키로깅, 입력 주입, 원격 탭과 스와이프 수행 기능을 포함한다. 일부 보도는 잠금 패턴 좌표 수집과 삭제 또는 초기화 관련 설정 화면 접근 방해도 설명했다. C2 주소는 Telegram 데드드롭에서 동적으로 가져오며, WebSocket 통신 실패 시 대체 전송 방식을 사용하는 흐름도 제시됐다. Group-IB는 UNKK와 다른 뱅킹 트로이목마 제휴자 사이의 유사성을 관측했지만 직접 연계는 확정하지 않았다.
Graphalgo Terraform과 Go 확장
Graphalgo와 중첩되는 악성코드는 기존 npm과 PyPI 생태계를 넘어 Terraform 공급자와 Go 모듈로 유포 범위를 넓힌 것으로 보고됐다. Aikido는 Terraform 공급자 2개와 Go 모듈 2개에 악성 구성요소가 삽입됐고, 이전 NPM 기반 Graphalgo 악성코드와 블록체인 및 Slack 인프라와 공개키를 공유한다고 설명했다. 다른 보도는 공격자가 가짜 Web3 기업을 사칭한 채용 제안과 코딩 과제를 이용해 개발자가 악성 의존성을 포함한 저장소를 받도록 유도했다고 전했다.
악성 Terraform 공급자는 특정 변수 조합 또는 암호 연산 조건이 맞을 때만 숨겨진 진입점이 활성화되도록 설계됐다. 이후 내장 데이터를 복호화하거나 암호화된 2단계 코드를 분리된 Go 프로세스로 실행한다. Go 모듈 변종도 평문 파일이나 SQL 파일처럼 보이는 암호화 ZIP에 악성코드를 숨긴 사례가 제시됐고, 일부는 특수 입력값이 있어야 활성화돼 제한적 표적 공격 정황을 보였다.
2단계 Go RAT는 시스템 정보와 사용자 환경, Node.js 사용 가능 여부를 수집한 뒤 Slack API와 Ethereum 테스트넷의 블록체인 데드드롭을 병행해 C2 채널로 사용한다. 암호화된 명령은 추가 Go 또는 JavaScript 코드 실행과 자기 삭제를 지시할 수 있다. 별도로 같은 보도 묶음에서는 탈취한 개발자 자격증명을 이용해 정상 npm 패키지와 여러 저장소에 삽입된 JavaScript 로더도 언급됐지만, Graphalgo Terraform 및 Go 유포와 동일 사건으로 단정되기보다 개발자 공급망 침해 맥락의 별도 사례로 제시됐다.