2026년 9월 동향 보고서

WaterPlum 채용 사칭 작전

WaterPlum으로 추적되는 북한 연계 행위자는 가짜 채용 담당자나 잠재 고용주로 위장해 개발자, 웹 디자이너, 블록체인과 가상자산 분야 인력을 겨냥했다. 일본, 미국, 호주, 독일 당국과 여러 보도는 이 활동이 2025년 12월부터 2026년 7월까지 100여 개국에서 최소 3만 대의 기기를 감염시키고 7,000개가 넘는 암호화폐 지갑에서 자금 또는 계정 자격증명을 탈취한 것으로 설명했다. 피해액은 보도별로 약 1,070만 달러 또는 약 17억 엔 규모로 제시됐고, 일부 출처는 탈취 자산이 북한으로 이전된 정황을 언급했다.

공격자는 AI, 암호화폐, NFT 기업이나 채용 담당자를 사칭해 사회관계망 서비스, 구직 게시판, 프리랜서 플랫폼에서 표적에게 접근했다. 면접 과정에서는 코딩 과제, 프로젝트 다운로드, 화상회의 문제 해결, 면접용 소프트웨어 실행을 명분으로 파일이나 명령 실행을 유도했다. 이 과정에서 악성 npm 패키지, Visual Studio Code 프로젝트, DMG와 PKG 형식의 macOS 설치 파일이 사용됐으며, macOS 설치 파일 사례에서는 서명과 공증이 없는 설치 파일이 정상 앱을 미끼로 열거나 설치 스크립트를 통해 다음 단계를 내려받아 실행한 것으로 설명됐다.

BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle 계열은 원격 접근과 정보탈취에 사용된 것으로 보고됐다. 이 악성코드들은 브라우저 로그인 정보, 쿠키, 클립보드 데이터, 키 입력, 화면, 암호화폐 개인 키와 시드 구문, 신분증 이미지, 프로젝트 파일 같은 정보를 수집할 수 있다고 제시됐다. OtterCookie 관련 보도는 브라우저와 암호화폐 지갑 자격증명 탈취, 민감 파일 탐색, 클립보드 감시를 언급했으며, StoatWaffle은 피해자가 신뢰한 개발 프로젝트를 열 때 코드가 실행되도록 숨겨질 수 있다고 설명됐다.

일부 보도는 개발 환경이 기업 저장소나 클라우드 서비스와 연결돼 있거나 피해자가 다른 기술 기업에 채용되는 경우, 감염된 개발자 기기가 고용주나 고객사 환경으로 이어지는 접근 경로가 될 수 있다고 밝혔다.

개발 생태계 의존성 유포

9월에는 채용 사칭과 개발자 생태계를 겨냥한 별도 악성 패키지 사례도 공개됐다. WeaselBiscuit는 13개 npm 패키지에서 유포된 신규 JavaScript 인포스틸러로 보고됐으며, 패키지 import가 로더 실행을 유발하면 주 악성코드가 메모리에서 실행되는 방식으로 설명됐다. 이 악성코드는 Windows, macOS, Linux에서 감염 호스트 정보를 수집하고 Chrome 확장 프로그램 저장소의 읽을 수 있는 데이터를 수집할 수 있다고 제시됐다.

WeaselBiscuit는 온라인 JSON 저장소 기반 데드드롭에서 C2 설정을 확인하고, 명령에 따라 Windows 시스템의 클립보드 내용과 키 입력을 기록할 수 있다고 보고됐다. 분석 주체는 BeaverTail 및 OtterCookie와 기능과 C2 구조의 유사성, 여러 운영 흔적을 확인했지만 운영 인프라, 피해자 특성, 캠페인 메타데이터가 부족해 북한 또는 Contagious Interview와의 연계는 확정하지 않았다고 밝혔다.

다른 보도는 Graphalgo와 중첩되는 Go 기반 악성코드가 HashiCorp Terraform Registry의 악성 provider와 Go 모듈로 유포됐다고 설명했다. 공격자는 가짜 Web3 기업을 사칭한 채용 제안과 코딩 과제를 이용해 개발자가 악성 의존성을 포함한 저장소를 받도록 유도했으며, 악성코드는 특정 암호 연산이 수행될 때만 실행되도록 설계됐고 블록체인 데드드롭과 Slack 채널을 이중 C2로 사용한다고 제시됐다. 같은 보도는 탈취한 개발자 자격증명으로 정상 npm 패키지와 여러 저장소에 삽입된 JavaScript 로더 사례도 함께 언급했다.

Cisco FMC 침해와 후속 악성코드

Cisco Secure Firewall Management Center Software의 두 취약점은 9월 보도에서 실제 악용 사례로 반복 확인됐다. 원격 비인증 공격자가 웹 인터페이스 인증을 우회해 루트 권한을 얻을 수 있는 취약점과, 저권한 계정 또는 정적 자격증명 접근 이후 다른 취약점과 결합해 권한을 높일 수 있는 취약점이 UAT-12197, UAT-11823, UAT-11988 세 침입 클러스터와 연결됐다.

UAT-12197은 인증 우회 뒤 JSP 기반 웹셸과 Java 기반 명령 실행 도구를 배포하고 내부 데이터베이스를 조회해 사용자 인증 데이터와 자격증명을 확보한 것으로 설명됐다. UAT-11823은 두 취약점 또는 정적 자격증명 접근을 이용해 리버스 셸, 구성 정보 수집 스크립트, Cyclops Blink 변종을 배포했으며, 일부 출처는 도구 중첩을 근거로 Sandworm 활동과의 연관성을 제시했다. 이 귀속은 보도에서 제시된 근거 수준에 머문다.

Cyclops Blink 변종은 침해된 Cisco FMC 장치에서 원격 접근 유지, 내부 네트워크 탐색, 트래픽 수집에 사용되는 x86-64 Linux 임플란트로 설명됐다. SysV 시작 서비스를 통해 재부팅 뒤에도 실행되도록 등록되고 일반 Linux 작업자 프로세스처럼 위장하며, 호스트와 인접 네트워크 정보 수집, 권한이 있을 때 암호 해시 수집, 파일 유출, 추가 도구 다운로드와 실행, 메모리 내 코드 로드를 수행할 수 있다고 제시됐다. 패킷 수집 모듈은 공격자 지정 조건에 맞는 트래픽을 선별해 자격증명, 쿠키, 인증 토큰, 관리 명령을 노릴 수 있다고 설명됐다.

UAT-11988은 Qilin 랜섬웨어 제휴 공격자로 귀속됐으며, 정적 자격증명으로 FMC에 접근한 뒤 내장 관리 도구를 악용해 내부망 정찰, Active Directory와 MySQL 자격증명 수집, 보안 도구 종료를 수행한 것으로 보고됐다. 이후 리버스 SSH 터널과 SOCKS 프록시로 접근을 유지하고 일부 엔드포인트에 Qilin 랜섬웨어를 배포해 파일을 암호화한 것으로 설명됐다.

CHOSEN BRICK 스파이웨어

영국 국가사이버보안센터, 미국 연방수사국, 네덜란드 정보보안국은 이란 국가 연계 행위자가 CHOSEN BRICK Windows 스파이웨어로 반체제 인사, 활동가, 언론인을 겨냥했다고 밝혔다. 공동 공개 내용과 보도들은 이 활동이 최소 2025년부터 영국, 미국, 네덜란드를 포함한 여러 국가의 표적을 대상으로 이어졌으며, 탈취 정보 일부가 친이란 유출 사이트에 게시돼 피해자 괴롭힘에 사용됐다고 설명했다.

공격자는 WhatsApp과 Telegram에서 지인이나 메신저 기술지원 담당자로 위장해 신뢰를 형성한 뒤 정상 프로그램 또는 MRI 검사 결과처럼 보이는 파일 실행을 유도했다. 일부 출처는 업무 기기에서 탐지가 우려될 경우 개인 기기 사용을 유도하는 정황도 언급했다. CHOSEN BRICK은 사용자 로그인 때 다시 실행되도록 Windows 자동 실행 항목을 설정하고 Microsoft Defender 예외를 추가하며 Telegram 기반 C2와 프록시를 사용한다고 보고됐다.

수집 기능은 표적 감시에 직접 연결되는 정보에 집중됐다. 보도들은 CHOSEN BRICK이 연락처, 이메일, 소셜미디어 메시지, 브라우저의 Telegram과 WhatsApp 데이터, 저장된 비밀번호와 이메일 주소를 수집하고, 화면 캡처와 마이크 녹음, 시스템 정보와 실행 프로세스 열거, 추가 악성코드 다운로드, 파일 삭제를 수행할 수 있다고 설명했다. 일부 변종에는 시스템 삭제 기능도 포함된 것으로 공동 권고문에 제시됐다.

PasteSwitch ClickFix 광고

PasteSwitch 조직은 탈취한 HBO Max의 인증된 Reddit 계정을 이용해 약 48시간 동안 악성 ClickFix 광고 108건을 게시한 것으로 보고됐다. 광고는 HBO Max, AI 도구, 개발 유틸리티, 디스크 정리 소프트웨어 등을 미끼로 사용자를 가짜 다운로드 페이지로 유도했으며, 도메인이 차단되면 다른 인프라로 전환한 것으로 설명됐다.

가짜 페이지는 설치 프로그램 대신 macOS Terminal 또는 Windows 실행 대화 상자와 PowerShell에 명령을 붙여넣도록 유도했다. 이 ClickFix 방식은 웹페이지가 명령을 클립보드에 복사한 뒤 사용자가 직접 실행하게 만드는 흐름으로 설명됐고, 다음 단계는 운영체제와 미끼에 따라 달라졌다.

macOS 경로에서는 MacSync와 AMOS 관련 구성요소 또는 가짜 지갑 앱이 언급됐다. MacSync는 브라우저 자격증명, Telegram 데이터, Apple Notes, macOS 비밀번호를 수집해 숨김 압축 파일에 저장한 뒤 유출한 것으로 설명됐고, 가짜 Ledger, Trezor Suite, Exodus 앱은 암호화폐 복구 구문 탈취를 노린 것으로 보고됐다. Windows 경로에서는 mshta와 PowerShell을 거쳐 메모리에서 로더를 실행하고 Amatera를 설치했으며, Amatera는 호스트 정보 식별, 화면 캡처, 저장된 브라우저 자격증명 복호화를 수행했다고 제시됐다. AnimateClipper와 ZigClipper는 클립보드의 암호화폐 지갑 주소를 공격자 주소로 바꾸고 블록체인 스마트 계약에서 C2 정보를 조회해 인프라를 교체할 수 있다고 설명됐다.

AI 플랫폼 신뢰 악용

별도 ClickFix 활동에서는 Claude, ChatGPT, Grok의 공유 콘텐츠와 공개 미니앱, 검색 광고가 악성 다운로드와 명령 실행 유도에 사용된 것으로 보고됐다. Huntress는 이 활동이 AI 모델이나 플랫폼 자체를 침해한 것이 아니라 친숙한 브랜드와 정상 플랫폼에 대한 사용자 신뢰를 악용한 것이라고 평가했다.

FakeAgent는 Claude Artifact로 위장한 Claude Desktop 다운로드 페이지를 이용해 여러 조직을 겨냥했고 외부 리디렉션으로 SectopRAT를 전달한 것으로 설명됐다. 다른 사례에서는 Apple 지원 설치 안내처럼 보이는 공유 페이지가 사용자의 Terminal 명령 실행을 유도해 MacSync를 배포했으며, 이 악성코드는 쿠키, 자격증명, 키체인 비밀값, Telegram 세션, SSH와 클라우드 키를 탈취했다고 보고됐다.

공개된 ChatGPT와 Grok 대화는 검색 결과 상단에 노출되도록 조작됐고, 피해자가 ClickFix 방식의 Terminal 명령을 실행한 뒤 AMOS stealer에 감염된 것으로 설명됐다.

ChainScript 원격제어 악성코드

ChainScript는 ClickFix 미끼로 유포되는 신규 원격제어 악성코드로 보고됐다. Spotify, Zoom Workplace, Microsoft Teams 설치 프로그램으로 위장한 Windows 설치 파일에서 실행되며, 감염 시스템에서 CMD와 PowerShell 원격 실행, 파일 조작, 화면 캡처, 추가 페이로드 배포, 암호화폐 지갑 열거를 지원한다고 설명됐다.

공격자는 Windows 설치 실행 도구로 악성 설치 프로그램을 실행한 뒤 숨겨진 PowerShell 및 VBScript 단계를 거쳐 Node.js 런타임과 ChainScript JavaScript 에이전트를 배포했다. ChainScript는 예약 작업과 Registry Run 키로 사용자 수준 지속성을 확보하고 WebSocket C2에서 추가 명령을 받으며 자체 업데이트와 지속성 제거도 수행할 수 있다고 제시됐다.

특징적인 부분은 Polygon 스마트 계약을 외부 C2 탐색기로 사용해 활성 WebSocket 인프라를 찾는 방식이다. 보도는 이 구성이 ChainScript 에이전트를 바꾸지 않고 감염 호스트를 새 인프라로 전환할 수 있게 해 지표 기반 탐지와 인프라 차단을 어렵게 만든다고 설명했다.