연구 요약과 시사점은 AI가 공개 초록을 정리한 것입니다(AI 생성). 연구를 누르면 원문이 새 창에서 열립니다.
Check Point Research는 Cobalt Strike 프레임워크를 운영하는 공격자의 설정 오류가 있는 웹 서버를 발견했다. 이 서버 로그를 통해 공격자가 중국어 사용자의 개인 컴퓨터를 침해했음을 확인했다.
시사점 공격 그룹이 사용하는 도구의 설정 오류를 통해 그들의 활동을 추적할 수 있다.
본 연구는 악성코드 클러스터링 연구를 중심 기반, 계층 기반, 밀도 기반, 분포 기반, 혼합형, 퍼지, AI 기반 접근법 등 일곱 가지 범주로 분류하고 기존 연구의 현황을 정리했다. 또한, 클러스터링 연구에 사용되는 공개 데이터셋과 파생된 특징 표현을 요약하여 향후 연구 방향을 제시한다.
시사점 악성코드의 양적 증가에 따라 클러스터링 기법을 체계적으로 이해하고 적용하는 것이 중요해지고 있다.
본 연구는 머신러닝을 사용하여 실행 파일의 최초 발견 날짜를 추정하거나 PE/COFF 컴파일 타임스탬프의 신뢰성을 판단하는 방법을 EMBER2024를 통해 평가했다. 직접적인 최초 발견 날짜 회귀는 데이터셋 수집 기간의 상당 부분과 유사한 오차를 보였으나, 분류기는 타임스탬프의 신뢰도를 높은 변별력으로 탐지할 수 있었다.
시사점 현재 모델은 외부 소스에서 얻은 최초 발견 메타데이터를 대체할 수 없으나, 타임스탬프의 신뢰도 판별에는 활용될 수 있다.
본 문서는 공격자들이 전략 정보 수집 및 금전적 갈취를 목적으로 활동하며, 공격 과정에서 생성형 AI 및 대규모 언어 모델(LLM)을 통합적으로 활용하는 동향을 관찰한 내용을 공유한다. 관찰된 행위에는 LotL 바이너리 사용, 제로데이 취약점 악용, 그리고 LLM을 이용한 정교한 사회 공학적 유인물 생성 등이 포함된다.
시사점 실무에서는 공격자들이 AI를 공격 워크플로우에 통합하고 있으므로, 이에 대응하는 탐지 및 방어 역량을 강화해야 한다.
본 연구는 악성코드 바이너리를 이미지로 렌더링하여 분류하는 10개 벤치마크를 감사하고, 파일 해시 기반 중복 제거가 정보 누출을 막지 못함을 확인했다. 이미지 콘텐츠 기반 중복 제거는 최대 8점의 Top-1 정확도 및 15점의 Macro-F1 정확도 감소를 초래했으며, 렌더링 단계 자체가 19.7%의 근접 중복을 유발함을 발견했다.
시사점 악성코드 이미지 분류 연구에서는 정확도와 함께 콘텐츠 수준의 중복 및 비이미지 기반의 기준선(baseline)을 함께 보고해야 한다.
연구진은 Kaspersky Security Network(KSN)의 경보를 통해, AppDomainManager 인젝션을 사용하여 임의의 .NET 어셈블리를 로드하는 복잡한 감염 체인을 발견했다. 이 체인은 Patch My PC의 실행 파일과 설정 파일을 악용하여 다단계 페이로드를 실행시켰으며, 이는 공급망 공격의 한 형태로 분석되었다.
시사점 특정 정부용 맞춤형 시스템에 대한 공급망 공격 시나리오를 이해하고, 실행 파일 및 설정 파일의 무결성을 검증하는 것이 중요하다.
본 문서는 Amatera라는 C++ 기반 윈도우 정보 탈취 악성코드가 어떻게 작동하며, 공격 그룹의 비즈니스 모델과 함께 다양한 공격 벡터를 통해 확산되는지를 분석했다. 이 악성코드는 웹 브라우저 정보, 클라우드 동기화 파일, 암호화폐 지갑 정보 등을 탈취하며, 특히 ClickFix와 같은 사회 공학적 기법을 통해 공격이 이루어지고 있음을 확인했다.
시사점 Amatera와 같은 정보 탈취 악성코드의 진화 양상과 공격 벡터를 이해하고, 이를 방어 체계에 반영해야 한다.
본 문서는 피크 쇼핑 시즌에 소매업체가 직면하는 랜섬웨어, 데이터 탈취, DDoS 공격 등 주요 사이버 위협 유형을 분석하고 대응 전략을 제시한다. 랜섬웨어 공격의 경우, 2026년 9월 30일까지 565개 소매업체가 피해를 주장했으며, 공격자들은 TGR-CRI-1173, Spikey Scorpius 등의 그룹으로 확인되었다.
시사점 소매업체는 운영 중단 및 데이터 유출을 막기 위해 자동화된 격리 메커니즘, 제로 트러스트 접근 통제, 그리고 인라인 샌드박싱을 적용해야 한다.
본 보고서는 2026년 4월부터 9월까지 ESET 연구원들이 관찰한 특정 APT 그룹들의 활동을 요약한다. 중국, 이란, 북한, 러시아 연계 그룹들의 활동 동향과 주요 공격 대상을 분석하였다.
시사점 각 지역 및 국가별로 활동하는 APT 그룹들의 공격 목표와 전술적 변화를 파악하여 위협 인텔리전스를 확보해야 한다.
공격자들은 ChatGPT 및 Claude와 같은 AI 도구의 인기를 악용하여 Yoba라는 맞춤형 악성코드 체인을 유포하는 캠페인을 추적했다. 이들은 GPT-5.6 Sol이나 Claude와 같은 가짜 AI 데스크톱 애플리케이션을 가장한 GitHub 프로젝트를 사용했다.
시사점 AI 도구를 악용한 형태로 악성코드 유포 공격이 발생하고 있으므로 이에 대한 경각심을 가져야 한다.
본 연구는 위협 행위자의 행동을 추적하는 진화하는 논리적 시그니처인 '적대자 두뇌(Adversary Brain)'를 개념적으로 제시한다. 이는 정보 분석 기법인 경쟁 가설 분석(ACH)을 LLM을 통해 대규모로 구현하여 지속적인 탐지 메커니즘을 제공한다.
시사점 LLM을 활용하여 위협 행위의 활동 패턴을 포착하고 새로운 지표를 발견하는 데 이 개념적 프레임워크를 적용할 수 있다.
이 악성코드는 브라우저 비밀번호, 세션 쿠키, 암호화폐 지갑 정보에 더해 Claude, ChatGPT Desktop 등 AI 애플리케이션 및 개발 도구의 정보를 수집하는 기능을 결합했다. 이 악성코드는 이러한 AI 관련 정보 수집을 통해 공격 표면을 확장하고 있다.
시사점 최신 정보 탈취 악성코드는 AI 도구 사용 환경까지 공격 대상으로 삼고 있으므로 이에 대한 방어 체계를 구축해야 한다.
본 보고서는 UAC-0099가 초기 침투한 후 Sandworm에게 권한을 넘겨준 시나리오에서 사용된 MythicRatatoskr 백도어를 분석했다. 이 백도어는 Yggdrasil 메시 네트워크를 통해 C&C 서버와 통신했으며, 이후 Sandworm이 데이터 삭제 공격을 수행한 사실을 확인했다.
시사점 공격 그룹 간의 침투 도구 및 운영 방식의 협업 패턴을 이해하는 것이 중요하다.
연구진은 npm과 PyPI 생태계의 악성 패키지를 포함한 대규모 데이터셋을 구축하고, 빌드 시 소스 코드를 직접 사용하는 전략을 검토했다. 그 결과, 소스 출처 확인 여부에 따라 악성코드 방지 성공률은 87.7%에서 99.9% 사이였으며, 양호한 패키지 중에는 출처를 명시하지 않은 경우도 있었다.
시사점 소프트웨어 빌드 시 패키지 레지스트리 의존도를 줄이고 소스에서 직접 빌드하는 것이 악성코드 공격 표면을 줄이는 데 효과적이다.
본 연구는 공격자가 AI 안전 제어(safety controls)를 우회하여 자격 증명 탈취, VoIP 사기 계획, 데이터베이스 유출 등 다양한 사이버 범죄 활동을 조정하는 사례를 조사하였다. 이 활동은 AI를 활용하여 여러 유형의 사이버 범죄를 계획하고 실행하는 방법을 보여준다.
시사점 공격자가 AI를 사이버 범죄에 활용하는 새로운 방법을 이해하고 이에 대한 방어 전략을 수립해야 한다.
연구팀은 Lazarus Group이 한국의 특정 보안 소프트웨어(CrossWeb EX)를 악용하고 워터링홀 전략을 사용하여 새로운 공격 캠페인(Operation FlashHole)을 수행했음을 분석했다. 이 공격은 피싱 이메일과 가짜 웹사이트를 통해 초기 침투가 이루어졌으며, 공격은 2025년 7월경부터 관찰된 것으로 추정된다.
시사점 국내에서 사용되는 필수 보안 소프트웨어가 공격 벡터로 악용될 수 있으므로, 해당 소프트웨어의 취약점 및 공격 시나리오에 대한 지속적인 모니터링이 필요하다.
본 보고서는 안티디텍트 브라우저가 사용자의 디지털 신원을 숨겨 단일 운영자로 다수의 계정을 동시에 운영하게 만드는 것을 조명한다. 이러한 기술은 페이스북, 인스타그램, X 등 다양한 플랫폼에서 탐지 시스템을 우회하며 사용될 수 있다.
시사점 AI 기반 안티디텍트 브라우저는 온라인상에서 대규모 계정을 운영하며 탐지를 회피하는 데 사용될 수 있으므로 이에 대한 경각심을 가져야 한다.
연구팀은 정부 기관을 겨냥한 공격 캠페인(CL-UNK-1211)을 추적했으며, 공격자들이 AI 생성 페이로드와 자동화된 AI 에이전트를 활용하여 리눅스 환경에 침투했음을 확인했다. 이 공격은 웹 쉘 배포, 자격 증명 탈취, 데이터베이스 덤프 시도 등 다양한 공격 기법을 사용했다.
시사점 공격자들이 AI를 활용하여 공격 페이로드를 생성하고 공격 전반의 워크플로우를 자동화했으므로, AI 기반 공격에 대비한 방어 체계 구축이 필요하다.
본 연구는 소프트웨어 스캐닝과 하드웨어 수준의 마이크로프로세서 활동 모니터링을 결합한 새로운 프레임워크를 제안하여 랜섬웨어 탐지 및 완화를 시도했다. 이 접근 방식은 기존 방법 대비 향상된 탐지 정확도와 낮은 지연 시간을 달성했으며, 결정 과정을 설명하는 추적 수준의 해석 가능성을 제공한다.
시사점 랜섬웨어 탐지에 있어 소프트웨어적 분석과 하드웨어적 활동 모니터링을 결합하는 것이 효과적이며, 이는 탐지 정확도와 지연 시간 개선에 기여한다.
연구진은 러시아 연계 APT 그룹 UAC-0099이 사용하는 C# 다운로더 MATCHBOIL의 다양한 버전을 분석하며, 코드 난독화 기법이나 샌드박스 탐지 회피 기법의 변화를 추적했다. 이 멀웨어는 초기에는 비교적 단순했으나 이후 버전으로 갈수록 공격의 정교함이 높아지는 양상을 보였다.
시사점 APT 그룹이 사용하는 멀웨어의 진화 양상을 파악하고 각 버전에 적용된 기술적 변화를 추적하는 것이 중요하다.
본 연구는 LLM을 이용한 악성코드 분류 프레임워크 MARS를 제시하고, 직접 분류와 단일 통과 주장 점수화 방식을 비교했습니다. 직접 분류는 모든 모델에서 더 높은 정확도를 보였으며, 사용 가능한 출력 샘플에서 정확도 우위는 3.7에서 20.9 퍼센트포인트 범위였습니다.
시사점 단순히 판결(verdict)이 필요하다면 직접 분류가 유리하며, 주장(claim)을 유지하는 것은 명시적인 정책 검토 및 수정에 도움을 줄 수 있다.
본 페이지의 연구 요약은 공개된 초록을 AI가 한국어로 정리한 것으로, 원문과 차이가 있을 수 있습니다. 정확한 내용은 반드시 원문을 확인하십시오. 본문과 PDF는 제공하지 않으며, 모든 저작권은 각 저자와 발행처에 있습니다.