2026년 10월 2주차 동향 보고서

ClingSTUN의 IoT 프록시 노드화

ClingSTUN은 인터넷에 노출된 패치되지 않은 Linux 기반 IoT 및 네트워크 장비의 알려진 취약점을 악용해 감염 시스템을 원격 제어 프록시 노드로 전환했다. FortiGuard Labs가 추적한 활동에서는 초기 Hytec Inter 라우터의 명령 주입 취약점에서 여러 제조사의 라우터, DVR, IoT 플랫폼으로 대상이 확대됐고, 공격자는 시기별로 다운로드 서버와 초기 침투에 쓰는 취약점을 변경했다. 여러 프로세서 아키텍처에 맞춘 페이로드와 내장 취약점 악용 기능은 다양한 장비에서 실행하고 다른 취약 장비를 탐색할 수 있게 했다.

악성코드는 공용 STUN 서버에 표준 바인딩 요청을 보내 NAT 환경의 외부 주소와 포트 매핑을 확인하고 반복 통신으로 바인딩을 유지했다. 이 트래픽은 정상적인 VoIP 및 WebRTC 통신과 유사하지만, 공용 STUN 서비스의 사용만으로 서비스 자체가 침해됐거나 공격자 통제하에 있다고 판단할 수는 없다. 제어 패킷을 받은 장비가 별도 연결을 통해 명령을 내려받아 실행하는 동작이 보고됐으나, 운영자가 NAT를 넘어 명령을 전달하는 전체 방식은 확인되지 않았다.

ClingSTUN은 숨김 실행 파일을 만들고 부팅 스크립트에 시작 명령을 추가해 재부팅 후 실행을 유지했다. 경쟁 악성코드 프로세스와 감시 타이머를 종료하고 명령줄 인자를 지우며 시스템 초기 프로세스의 정보를 모방해 흔적을 감췄다.

FortiBleed의 자격증명 기반 접근 거래

FortiBleed 운영자는 인터넷에 노출된 Fortinet FortiGate 방화벽과 SSL VPN 포털을 스캔하고, 과거 유출 자료와 인포스틸러 로그에서 확보한 자격증명으로 자격증명 스터핑과 비밀번호 스프레이를 수행했다. FBI와 미국 비밀경호국은 2026년 6월 기준 194개국에서 8만6644개 이상의 유효 장치 자격증명을 확보한 것으로 추정했으며, 다른 보도는 SOCRadar 검증 결과를 침해 장비 집계로 제시했다. 이 차이 때문에 해당 수치는 장비 침해와 유효 자격증명 확보를 구분해 해석할 필요가 있다.

공격자는 인증 트래픽, 비밀번호 해시, 사용자 데이터베이스와 세션 토큰을 수집하고, 분산 GPU 환경에서 레거시 방식으로 저장된 비밀번호를 오프라인 해독해 작동 가능한 계정을 선별했다. 접근에 성공한 뒤에는 신규 관리자 계정을 만들고 기존 관리자 계정을 삭제하거나 비밀번호를 변경해 조직의 장비 접근을 차단했다. 이어 Active Directory 계정과 권한 사용자를 열거하고 추가 인증을 시도했으며, 일부 보도는 네트워크 공유의 민감 데이터 유출과 측면이동도 전했다.

확보된 VPN 설정과 표적 목록은 초기 접근 상품으로 구성됐다. FBI와 미국 비밀경호국은 후속 위협 행위자에게 판매될 가능성을 제시했고, 여러 출처는 INC, Lynx, Payload 랜섬웨어 활동과의 연계 또는 구매 관계를 언급했다.

PoeLLM의 AI 서버 채굴 봇넷

Canto Incognito 캠페인은 인터넷에 노출된 AI 서비스와 개발 서버에 Linux ELF 악성코드 PoeLLM을 설치해 암호화폐 채굴과 추가 표적 탐색에 사용했다. 2026년 4월부터 추적된 활동으로 3400대가 넘는 서버가 영향을 받은 것으로 집계됐고, 피해는 미국과 서유럽에 집중됐다. 감염 서버에는 XMRig와 Iron 채굴기, 원격 셸, HTTP 및 HTTPS 스캐너, 취약점 악용 전달 기능이 배치됐다.

PoeLLM은 공개 코드 저장소에 게시된 시에서 특정 단어와 구문을 추출해 내부 사전으로 숫자로 변환하고 원격 제어 서버 주소를 계산했다. 운영자는 악성코드를 교체하지 않고 시의 선택 단어를 바꿔 감염 시스템이 접속할 서버를 전환할 수 있었다. 감염 서버는 유사하게 노출된 서비스를 스캔하고 조작된 POST 요청으로 추가 페이로드 다운로드를 유도하는 확산 거점으로도 사용됐다.

공격자는 LiteLLM, Gotenberg, Gitea, Ivanti Sentry 등 인터넷에 노출된 배포 환경을 노렸다. LiteLLM의 명령 주입 취약점은 가능한 침투 경로로 제시됐으며, 다른 취약점과 결합하면 인증 없는 원격 코드 실행이 가능하다는 연구 결과가 보고됐다. 일부 봇에서 SSH와 로그인 포털을 겨냥한 분산 무차별 대입 시도도 관측됐지만, 이 기능의 성숙도는 불확실하다.

Tensorlake SDK를 통한 Shai-Hulud 유포

Tensorlake의 공식 TypeScript SDK인 tensorlake의 유지관리자 계정 또는 신원이 침해돼 Shai-Hulud 웜 계열 페이로드가 포함된 악성 릴리스가 npm에 게시됐다. 공격자는 주 브랜치에 악성 파일을 추가한 뒤 정상 GitHub Actions 배포 파이프라인이 유효한 빌드 출처 증명과 함께 변조된 결과물을 배포하도록 했다. 해당 릴리스는 이후 레지스트리에서 제거됐지만, 설치한 개발자 워크스테이션, 애플리케이션 서버와 빌드 실행기는 샌드박스에서 생성 코드를 실행하기 전부터 설치 프로세스의 권한으로 노출될 수 있었다.

패키지의 preinstall 훅은 난독화된 JavaScript 로더와 Bun 런타임을 실행해 페이로드를 설치했다. 페이로드는 환경 변수와 로컬 비밀 파일, npm 및 GitHub 토큰, 클라우드 자격증명, SSH 키, Kubernetes와 Docker 설정, Vault 정보, CI 토큰과 환경 파일을 수집했으며 클라우드 메타데이터 서비스에서 단기 자격증명도 조회했다. 변종은 브라우저 쿠키와 자격증명, 암호화폐 확장 프로그램 관련 데이터까지 수집 대상으로 넓혔다.

탈취한 게시 권한은 피해자가 관리하는 다른 패키지의 변조 버전을 게시하고 공급망을 따라 자기 복제를 시도하는 데 사용됐다. 악성 구성요소는 GitHub Actions 워크플로를 삽입하고 AI 코딩 도구나 편집기에서 프로젝트를 열 때 다시 실행되도록 설정했으며, 블록체인 거래와 공개 원격 호출 서비스를 조회해 원격 제어 경로를 해석했다. 일부 구성요소는 탈취한 GitHub 토큰의 폐기 여부를 감시하고 폐기되면 공격자 제공 코드를 실행하도록 만들어졌다.

GhostAction의 자동화 워크플로 악용

GhostAction 공격자는 보안 점검으로 위장한 GitHub Actions 워크플로를 저장소에 삽입해 SSH 키, 클라우드 자격증명과 접근 토큰을 수집했다. GitGuardian은 2026년 8월 31일부터 9월 30일까지 공개 저장소 772곳과 사용자 및 조직 373곳의 침해를 확인했으며, 조사된 저장소 일부에서는 시크릿의 실제 유출도 확인했다.

악성 워크플로는 푸시 이벤트와 수동 실행에 반응하도록 구성됐다. 공격자는 정상 워크플로와 설정 이력에서 확인한 이름의 시크릿만 요청해 외부로 전송했으며, 주입 후 생성된 정상 커밋도 실행을 촉발했다. 피해자의 신원으로 보이는 커밋은 탈취 자격증명을 통한 저장소 접근과 자동화 권한 남용 정황을 뒷받침했다. 일부 피해 저장소가 별도의 암호화폐 채굴 활동과 겹쳤지만, 연구진은 이를 동일 운영자의 활동으로 단정하지 않았다.

Flax Typhoon 연계 인프라 압수

미국 법무부와 FBI는 중국 베이징 기반 Integrity Technology Group이 운영한 것으로 추정되는 Microscan과 FishHub 관련 인프라의 접근을 차단하고 도메인 7개를 법원 명령에 따라 압수했다. 법원 문서는 이 활동을 Flax Typhoon과 연계했으며, 해당 조직이 Mirai 변종에 감염된 인터넷 연결 장치로 구성한 Raptor Train 봇넷을 Microscan의 대규모 정찰과 취약점 탐색에 사용한 것으로 지목했다.

2024년 6월 기준 봇넷 데이터베이스에는 감염 기기 기록 120만 대 이상이 있었고 약 26만 대가 활성 상태였던 것으로 제시됐다. Microscan은 1300개가 넘는 침투 테스트 스크립트를 포함해 웹 애플리케이션과 네트워크 서비스의 알려진 취약점을 점검했으며, 미국 전력회사, 일본과 폴란드의 공항, 대만의 에너지 기업과 대학 등을 스캔했다. 다만 스캔 대상이었다는 사실만으로 해당 네트워크의 침해가 입증되지는 않는다.

FishHub는 스피어피싱으로 초기 접근을 유도한 뒤 추가 악성코드를 내려받아 원격 접근, 특정 파일 탐색과 전송을 지원한 것으로 법원 문서와 당국 발표에 제시됐다. 대만 대학 약 20곳이 관련 활동의 확인된 피해자로 언급됐으며, 공동 권고는 이메일 계정 접근, 자격증명 수집, VPN을 통한 지속성 확보 등 추가 침해 행위를 설명했다.

AhsayCBS 취약점 연계 채굴 침해

식별되지 않은 공격자들은 외부에 노출된 AhsayCBS 백업 관리 플랫폼의 인증 우회 취약점과 운영체제 명령 삽입 취약점을 연계해 인증 없이 명령을 실행했다. 최소 5개 조직이 영향을 받은 것으로 보고됐으며, Huntress는 수정된 것으로 알려진 취약점이 조사 당시 최신 버전에도 영향을 준다고 확인했다. 보도 시점에는 유효한 패치가 없는 상태로 설명됐다.

공격자는 인증을 우회한 뒤 시스템 권한으로 정찰하고 악성 복제 수신기와 JSP 웹셸을 설치했다. 이어 Microsoft Edge로 위장한 XMRig 채굴기를 배포하고 수정된 서비스 관리 유틸리티를 가짜 업데이트 서비스로 등록해 지속성을 확보했다. PowerShell 스크립트는 Windows 작업 관리자가 열리면 채굴 서비스를 중지하고 닫히면 다시 시작하거나, 작업 관리자가 장시간 실행될 경우 종료하도록 구성돼 분석과 탐지를 방해했다. AhsayCBS가 백업 작업, 저장소, 사용자 계정과 복제 서비스를 중앙 관리한다는 점에서 침해 범위에는 연결된 관리 기능과 백업 저장소가 포함될 수 있다.