2026년 9월 APT 공격 동향 보고서(국내)
내용 안랩은 자사 인프라를 활용해 국내 타겟의 APT(Advanced Persistent Threat, 특정 표적을 장기간 노리는 공격) 공격을 모니터링했다. 본 보고서는 2026년 9월 한 달 동안 확인된 국내 APT 공격의 분류, 통계, 유형별 기능을 정리했다. 목적 및 범위 보고서는 국내에서 확인된 APT 공격의 유포 방식과 실행 유형을 소개한다. 대…
ASEC
기업최근 글
ASEC기업
AI가 찾아낸 약한 고리: 외곽 접점이 무너진 2026년 10월
AI가 찾아낸 보안의 사각지대 2026년 10월 한국과 일본에서 연이어 공개된 대규모 침해사고는 대부분 내부 핵심 시스템이 아니라 외부에 노출된 웹서비스와 앱 백엔드 API, 위탁 SaaS (메일 발송이나 백업처럼 위탁 업체가 클라우드로 제공하는 서비스)같은 외곽 접점에서 시작됐다. 같은 기간 PHP, Node.js 등 웹 백엔드 런타임 및 GitLab 등…
Node2Shell: 압축 데이터 하나로 서버 장악까지 (CVE-2026-111497)
개요 2026년 10월에 공개된 CVE-2026-111497은 Node.js에 포함된 Brotli 디코더에서 발생하는 범위 밖 쓰기(out-of-bounds write) 취약점이다. Brotli는 구글에서 개발한 압축 알고리즘으로, 주로 웹 전송 데이터를 압축하거나 전송된 압축 데이터를 해제하는 데 사용된다. 웹 애플리케이션이 Brotli로 압축된 데이터를…
2026년 9월 국내외 금융권 관련 보안 이슈
금융권 대상 유포 악성코드 통계 공격 1단계에서는 Phishing(사용자를 속여 정보를 탈취하는 공격)이 2.1로 가장 높았고, 전월 1.8 대비 상승했다. 공격 2단계에서는 Dropper/Downloader(추가 악성코드를 내려받는 유형)가 1.1로 가장 높았으나, 전월 3.2 대비 하락했다. 공격 3단계에서는 Infostealer(정보 탈취 악성코드)가…
RATatouille: 오늘의 메뉴는 국내 기업 사칭, 결제는 암호화폐로
ValleyRAT 관련 인프라를 추적하는 과정에서 국내 로봇 제조사와 주류 브랜드 등 국내 기업 및 브랜드를 사칭한 다수의 의심 웹사이트가 확인되었다. 확인된 사이트들은 실제 기업의 로고, 홍보 영상, 소개 내용을 사용해 공식 웹사이트처럼 위장하였다. 웹사이트들은 초대 코드 기반 회원가입, 로그인, 수수료 내역 조회, VIP 회원 기능, 암호화폐 입출금 기…
Ransom & Dark Web Issues 2026년 10월 5주차
ASEC Blog를 통해 한 주간의 ‘Ransom & Dark Web Issues’ – 2026년 10월 5주차를 게시한다. n0n, 한국 IT 서비스 및 시스템 통합 기업 대상 데이터 강탈 공격 한국 강관 제조 기업 생산설비 시스템 접근 정황 The Gentlemen, 베트남 국영 항공사 대상 랜섬웨어 공격
2026년 9월 인포스틸러 동향 보고서
내용 2026년 9월 한 달 동안 수집된 신규 인포스틸러(정보 탈취 악성코드)의 유포 채널, 악성코드 수량, 탐지 수량, 위장 대상 기업 정보를 정리한 동향 보고서이다. ASEC(AhnLab SEcurity intelligence Center)와 AhnLab 제품의 진단 로그를 기준으로 집계했으며, 자동 수집 시스템과 이메일 허니팟 시스템에서 수집한 샘플을…
GitHub php2shell 저장소 분석: PHP 취약점 공개 직후 확산된 공개 PoC와 방어 도구
개요 2026년 10월 21일에 PHP의 취약점 CVE-2026-109618과 CVE-2026-109619가 공개된 직후, 코드 저장소 플랫폼인 GitHub에서 ‘php2shell’이라는 이름을 사용하는 저장소가 단기간에 대량으로 생성되었다. 검색어 php2shell로 조회한 상위 100개 저장소(포크 제외) 가운데 99개가 이 취약점을 다루며, 거의 전부…
2026년 9월 랜섬웨어 동향 보고서
목적 및 범위 2026년 9월 한 달 동안 수집된 신규 랜섬웨어 샘플 수량, 피해 시스템 수량, 피해 업체 통계와 국내외 주요 랜섬웨어 이슈를 정리한 보고서이다. ATIP(AhnLab Threat Intelligence Platform)과 ASD(AhnLab Smart Defense) 기반 수집 데이터, 그리고 랜섬웨어 그룹의 DLS(Dedicated Le…
PHP2Shell 취약점 재현 및 AhnLab EDR/XDR을 활용한 탐지
PHP 보안팀은 2026년 10월 22일 권고문 통해 CVE-2026-109618과 CVE-2026-109619 취약점에 대한 보안 업데이트를 예고했다. 두 취약점은 발생 원인에는 차이가 있지만, 인증되지 않은 공격자가 원격에서 임의의 코드를 실행할 수 있는 원격 코드 실행 취약점이다. AhnLab SEcurity intelligence Center(ASE…
국내 PHP 서버 ‘약 11만 개’, 어떻게 집계했나?
어제(10월 21일) 안랩 홈페이지에 「PHP 중대 취약점 2건 발견…웹 서버 공격 위험에 긴급 업데이트 필요」 글이 게시된 뒤, 본문에 인용된 ‘국내 PHP 서버 IP 약 11만 개’라는 수치의 근거를 묻는 문의가 많았다. 이 글에서는 해당 수치를 어떻게 집계했는지, 그리고 숫자를 읽을 때 무엇을 주의해야 하는지 설명한다. 먼저 알아둘 점 ‘약 11만 개…
Ransom & Dark Web Issues 2026년 10월 4주차
ASEC Blog를 통해 한 주간의 ‘Ransom & Dark Web Issues’ – 2026년 10월 4주차를 게시한다. The Seven Deadly Sins, 전 세계 7개 기업 및 기관 대상 데이터 유출 주장 HYFLOCK, 사우디아라비아 ERP 소프트웨어 기업 대상 랜섬웨어 공격 Qilin, 일본 투자 관리 기업 대상 랜섬웨어 공격
누가 지켜보면 멈춘다? 신종 인포스틸러의 수상한 행동
불법 소프트웨어나 크랙 프로그램이 악성코드 유포에 악용될 수 있다는 사실은 이미 잘 알려져 있다. 최근 안랩은 불법 프로그램으로 위장한 새로운 정보 탈취형 악성코드(인포스틸러)를 확인했다. 이 악성코드는 지난 8월 중순 처음 발견됐으며, 이후 실행 방식을 바꾸면서 9월부터 대량 유포되기 시작했다. 특히 브라우저와 업무용 프로그램에 저장된 정보를 수집할 뿐만…
퇴직연금 적립금 확인하라더니, 비밀번호까지 요구?
직장인이라면 관심 가질 만한 퇴직연금 적립금 운용 현황을 확인하라는 이메일도 경계 대상이다. 최근 퇴직연금 안내를 내세워 이메일 계정 정보를 노리는 피싱 메일이 확인됐다. 공격자는 보안 메일 확인을 명목으로 HTML 파일을 열도록 유도하고, 실제 문서 대신 가짜 로그인 화면을 띄워 비밀번호 입력을 요구한다. 이 과정에서 정상적인 웹 양식 전송 서비스가 계정…
2026년 9월 APT 그룹 동향 보고서
목적 및 범위 2026년 9월 공개된 APT 사례는 개발자 생태계, 클라우드 서비스, 네트워크 관리 인프라를 신뢰 계층으로 악용하는 방향으로 진화한 점을 보여준다. 정상 소프트웨어 설치 파일, GitHub 저장소, Microsoft 365, OneDrive, Telegram, Nostr, 라우터와 인증 서버가 공격 체인에 포함되었다. 주요 동향 공급망 공격…
중국 AI 모의해킹 툴 ARTEX 인프라 분석 #4 – Copy Cat 탄생
핵심 요약 ARTEX 원본 GitHub 저장소가 사라진 이후, 기존 ARTEX 코드베이스를 기반으로 한 독립 배포본과 커스터마이징 인스턴스가 증가하고 있다. 이들 배포본은 ARTEX 흔적을 유지한 채 제품명, UI, 파일시스템 구조, 에이전트 설정, 언어를 바꾸어 재배포되고 있다. 주요 관찰 사항 여러 인스턴스에서 ARTEX가 그대로 유지되거나 ScopeW…
ARTEX로 살펴본 AI 자율 침투의 위협
개요 AI는 자료 조사와 문서 작성, 코드 분석처럼 사람이 직접 하던 여러 업무에 쓰이고 있다. 2026년 기업 조사에서도 AI를 활용하는 조직의 적용 범위가 전년보다 넓어진 것으로 나타났다. 최근에는 개별 작업을 돕는 데서 나아가 여러 단계를 이어 수행하도록 맡기면서 업무의 상당 부분을 자동화하려는 흐름도 나타난다. 보안 분야도 마찬가지다. 대표적인 예시…
구매 주문서를 위장한 피싱 메일 주의
최근 AhnLab SEcurity intelligence Center(ASEC)에서는 구매 주문서 확인 요청으로 위장한 피싱 메일이 유포되는 정황을 확인하였다. 이메일 본문에는 첨부된 구매 주문서를 확인한 후 관련 자료를 회신해 달라는 내용이 포함되어 있으며, 사용자가 첨부된 DOCX 문서 파일을 다운로드해 열람하도록 유도한다. 첨부된 파일 : PURCHA…
2026년 3분기 윈도우 웹 서버 대상 악성코드 통계 보고서
내용 AhnLab SEcurity intelligence Center(ASEC)는 AhnLab Smart Defense(ASD) 로그를 바탕으로 2026년 3분기 Windows 웹 서버 공격 현황을 분석했다. 대상은 Windows 환경의 Internet Information Services(IIS) 웹 서버와 아파치 톰캣 웹 서버이며, 주로 패치되지 않은…
2026년 3분기 리눅스 SSH 서버 대상 악성코드 통계 보고서
내용 AhnLab SEcurity intelligence Center(ASEC)은 허니팟을 통해 부적절하게 관리되는 리눅스 SSH 서버를 대상으로 한 공격 로그를 수집했다. 본 보고서는 2026년 3분기에 확인된 공격지(Attack Source)와 그 공격지에서 수행된 공격, 그리고 사용된 악성코드를 분류해 통계를 정리한 내용이다. 목적 및 범위 보고서는…
2026년 3분기 윈도우 데이터베이스 서버 대상 악성코드 통계 보고서
내용 AhnLab SEcurity intelligence Center(ASEC)은 ASD 인프라로 윈도우 운영체제에 설치된 MS-SQL 서버와 MySQL 서버를 대상으로 하는 공격을 관측하고 분류했다. 이 문서는 2026년 3분기에 확인된 로그를 바탕으로 피해 현황, 공격 현황, 그리고 공격에 사용된 악성코드 유형을 정리한 보고서이다. 목적 및 범위 보고서…
Ransom & Dark Web Issues 2026년 10월 3주차
ASEC Blog를 통해 한 주간의 ‘Ransom & Dark Web Issues’ – 2026년 10월 3주차를 게시한다. n0n, 한국 항만 및 물류 관련 기업 12곳 대상 랜섬웨어 공격 프랑스 주요 슈퍼마켓 체인 냉장 시스템 대상 사이버 공격 사우디아라비아 핀테크 기업 결제 및 거래 데이터 유출 주장
거래 제안 메일을 위장한 AgentTesla 악성코드 유포 사례
최근 AhnLab SEcurity intelligence Center(ASEC)에서는 거래 제안서 확인 요청으로 위장한 피싱 메일이 유포되는 정황을 확인하였다. 이메일 본문에는 첨부된 제품 목록을 확인한 후 재고 및 가격표에 관한 의견을 회신해 달라는 내용이 포함되어 있으며, 사용자가 첨부된 ZIP 파일을 다운로드해 열람하도록 유도한다. 첨부된 파일 : {…
사례로 살펴보는 Suo5 기반 터널링·피벗팅 공격 기법
개요. 이 보고서는 Suo5(HTTP/HTTPS 기반 터널링 도구)가 침해된 웹 서버를 중계 지점으로 삼아 내부망으로 이동하는 피벗팅(Pivoting, 이미 장악한 시스템을 경유해 다른 시스템이나 네트워크로 범위를 넓히는 기법)에 악용된 사례를 정리한다. 터널링(Tunneling, 한 프로토콜의 데이터를 다른 프로토콜 안에 넣어 전송하는 기술)과 포트 포워…
Endpoint에서 Funhouse로: 랜섬웨어 계열의 변화와 Kimsuky 연관 유포 사례
1. 개요 AhnLab SEcurity intelligence Center(ASEC)은 최근 Kimsuky 그룹이 이력서로 위장한 악성 한글 문서를 통해 최종적으로 Funhouse 랜섬웨어를 유포한 사례를 확인하였다. Funhouse 랜섬웨어는 기존에 공개된 Endpoint 랜섬웨어의 변종으로 확인되었으며, 이번 공격에 사용된 Quasar RAT 등의 도구…
2026년 9월 다크웹 침해사고 동향 보고서
알림 2026년 9월 다크웹 침해사고 동향 보고서는 딥웹 및 다크웹 포럼에 게시된 Data Breach(데이터 유출) 사례와 초기 접근 권한 판매를 중심으로 정리되었다. 보고서의 일부 내용은 출처 특성상 사실 여부를 완전히 확인하기 어렵다고 명시되었다. 주요 이슈 전 세계 정부, 공공, 국방, 금융, 의료, 통신, 제조 분야를 대상으로 한 데이터 유출과 접…
2026년 9월 다크웹 이슈 동향 보고서
알림 2026년 9월 다크웹 이슈 동향 보고서는 딥웹 및 다크웹에서 발생한 주요 이슈를 정리한 내용이다. 다만 출처의 특성상 일부 정보는 사실 여부를 완전히 확인하기 어려울 수 있다고 밝혔다. 주요 이슈 다크웹 포럼 Dread를 통해 신규 다크웹 마켓 Sentinel Market의 공식 출시가 공지되었다. 취급 품목과 운영 방식 등 세부 내용은 독립적으로…
2026년 9월 다크웹 위협 행위자 동향 보고서
알림 2026년 9월 다크웹 위협 행위자 동향 보고서는 딥웹 및 다크웹에서 활동하는 위협 행위자와 공식 발표된 사이버 공격 사고를 중심으로 정리되었다. 일부 내용은 사실 관계를 독립적으로 확인할 수 없다고 명시되었다. 주요 이슈 일부 핵티비스트 그룹들은 일본 지역의 금융기관, 대학, 일반 기업, 연구기관 웹사이트를 대상으로 DDoS 공격을 주장했다. 또 다…
피싱 공격을 통해 유포 중인 RMM 도구들 (ScreenConnect, FleetDeck, Datto, SimpleHelp, JumpCloud, N-able)
AhnLab SEcurity intelligence Center(ASEC)은 2026녀 1월 동영상 파일이나 피싱 메일 첨부 파일을 통해 RMM(Remote Monitoring and Management) 도구들을 유포하는 공격 사례들을 다루었다. [1] [2] 해당 공격 사례에서는 Syncro, ConnectWise ScreenConnect, NinjaO…
2026년 3분기 공격기법 동향보고서
개요 2026년 3분기에는 초기 접근 이후 조직이 신뢰하는 경로를 이용해 지속성과 공격 확장을 시도한 사례가 두드러졌다. NetScaler와 Cisco FMC 같은 경계 장비는 취약점 악용 뒤 웹쉘(web shell, 원격 명령 실행용 서버 측 스크립트) 설치로 이어졌고, 공급망에서는 공식 패키지 레지스트리를 통해 악성 버전이 전달됐다. 신원 공격에서는 패…