한 보안 분석가가 트레이딩 커뮤니티에 올라온 "비트코인 전략 파일"을 열었다가 4단계로 이어지는 악성코드 유포 사슬을 발견했습니다. 시작점은 WinRAR의 파일 경로 처리 결함(CVE-2023-38831)을 악용한 조작된 압축 파일이었고, 끝은 감염 PC의 정보를 훔쳐가는 원격 제어 채널이었습니다. 이 글은 그 분석 과정을 통해 "왜 파일 포맷 파서의 사소한 판단 오류가 치명적인 침해로 이어지는가"를 짚습니다.
2024년 초부터 해킹된 정상 웹사이트에 몰래 심어져 방문자의 암호화폐 지갑 서명을 유도하는 "드레이너(drainer)" 악성코드가 급증했습니다. 웹 보안 업체 Sucuri에 따르면 이 가운데 "Angel Drainer"라는 서비스형 도구는 4주 사이 5,751개의 서로 다른 도메인에서 발견됐습니다. 핵심은 취약점을 뚫는 게 아니라, 방문자가 이미 갖고 있는 "이 사이트는 정상이다"라는 믿음과 "지갑에 서명 한 번 하는 건 별일 아니다"라는 오해를 그대로 이용한다는 점입니다.
Ledger의 보안 연구팀 Donjon은 Trust Wallet 브라우저 확장에서, 지갑을 만들 때 쓰는 무작위성(엔트로피)이 사실상 32비트밖에 안 된다는 결함을 발견했습니다. 그 결과 이 확장으로 만든 지갑은 **주소만 알면 개인키를 즉시 계산해낼 수 있었습니다.** 표준 암호 알고리즘은 하나도 깨지지 않았습니다. 깨진 것은 그 알고리즘에 넣는 "주사위"의 품질이었습니다.
서버가 공격자 지정 URL로 요청을 보내게 만드는 SSRF(서버 사이드 요청 위조)는 코드만 보면 다 똑같아 보입니다. 그런데 같은 모양의 결함이라도 그 값이 **어디서 들어오는지**에 따라 실제 위험도가 크게 갈립니다. 이 글은 저희가 검증 작업을 반복하며 정리한, SSRF의 진짜/가짜를 가르는 기준 하나를 소개합니다.
윈도우 프로그램은 자신이 불러올 라이브러리(DLL)를 이름만으로 찾고, 그 이름이 어느 경로에서 왔는지는 크게 따지지 않습니다. 보안 연구자 Elliot(elliotonsecurity.com)은 이 오래된 약점을 다시 들여다보며, 악성 DLL을 몰래 끼워 넣는 기법(DLL 하이재킹) 자체가 아니라 그 다음 단계 — 끼워 넣은 뒤 코드를 "안전하게" 실행하는 방법 — 를 새로 정리했습니다. 이 원리를 이해하면 신뢰된 실행파일이라는 말이 실제로 무엇을 검증하고 무엇을 검증하지 않는지가 보입니다.
Objective-See의 Patrick Wardle이 매년 발행하는 연간 맥(Mac) 악성코드 리뷰의 2023년판을 재구성합니다. 랜섬웨어부터 정보탈취형 악성코드(인포스틸러), 국가배후 그룹의 백도어까지 수십 개 샘플을 다룬 원문에서, 개별 사례를 나열하는 대신 전체를 관통하는 공통 패턴 세 가지만 추려봤습니다.
Pwn2Own 출전을 준비하던 연구자 blackcon이 여러 LLM 제공사를 하나의 API로 묶어주는 오픈소스 게이트웨이 LiteLLM에서 템플릿 인젝션(SSTI) 취약점을 발견했습니다. 단일 HTTP 요청만으로 서버에서 루트 권한 코드 실행까지 이어지는 결함이었지만, 대회 직전 메인테이너가 별도 공지 없이 조용히 고쳐버리면서 대회 출전은 무산됐습니다.
보안 업체 Avast는 북한 연계 해킹 그룹 라자루스(Lazarus)가 실전에서 사용한 윈도우 커널 제로데이(개발사도 모르는 미공개 취약점)를 발견해 마이크로소프트에 신고했습니다. 이 취약점은 2024년 2월 정기 패치에서 CVE-2024-21338로 수정됐습니다. 눈에 띄는 건 취약점 자체보다 라자루스가 이걸 쓴 방식입니다 — 취약한 서명 드라이버를 따로 가져다 쓰는 기존 수법(BYOVD) 대신, 윈도우에 원래 있던 드라이버 하나의 결함만으로 관리자 권한을 커널 권한으로 바꿔치기했습니다.
한국인터넷진흥원(KISA)이 오래된 소프트웨어를 자동으로 최신 버전으로 갱신해 주는 "보안 취약점 클리닝 서비스"를 시범 운영했습니다. 보안 연구팀 티오리(Theori)는 이 서비스가 기존 보안 프로그램에 얹혀 동작하는 과정에서, 시스템 최고 권한(SYSTEM)으로 임의 코드를 실행할 수 있는 구조적 결함을 찾아 KISA에 제보했습니다. 좋은 의도로 만든 자동 업데이트 기능이, 신뢰 기반 자체가 흔들리면 오히려 가장 위험한 진입로가 될 수 있다는 사례입니다.
개발자 jmswrnr는 자기 집 스마트 공기청정기를 자체 홈 자동화 시스템(Home Assistant)에 붙이고 싶다는 소박한 동기에서 출발해, 이 기기가 만든 회사 클라우드 서버 없이는 원격 제어가 아예 불가능하다는 사실을 발견하고 직접 뜯어보기로 합니다. 그 결과 회로 기판의 디버그 핀 몇 개, 암호화되지 않은 저장소, 그리고 표준 프로토콜 대신 손수 만든 암호화 방식이 어떻게 차례로 무너지는지가 드러났습니다.
보안 업체 Socket이 코드 에디터 확장 마켓플레이스 **Open VSX**에서 확산 중인 "GlassWorm" 캠페인의 새 변형을 보고했습니다. 이번 변형의 핵심은 처음엔 완전히 무해해 보이는 확장을 올려두고, 나중 업데이트에서 다른 확장을 끌어오게 만드는 방식으로 진화했다는 점입니다. 설치 시점의 심사만으로는 이런 확산을 걸러낼 수 없다는 것을 보여주는 사례입니다.
뉴질랜드 보안업체 Pulse Security는 GitLab의 CI/CD(코드를 커밋하면 자동으로 빌드·배포까지 이어주는 파이프라인) 환경에서, 낮은 권한의 사용자 계정 하나로 시작해 결국 프로덕션 서버에 root로 접속하는 공격 체인을 실습 환경에서 시연했습니다. 각 단계는 개별적으로는 GitLab의 "정상 기능"이지만, 여러 프로젝트가 하나의 실행 인프라(러너)를 공유하면서 격리가 충분하지 않을 때 이 기능들이 이어 붙어 심각한 권한 상승 경로가 됩니다.
다단계 네트워크 분리(defense-in-depth)는 중요한 시스템일수록 접근 경로를 여러 겹으로 감싸는 설계입니다. 그런데 침투테스트에서는 이미 장악한 호스트 하나를 발판(pivot) 삼아, 외부에서 직접 보이지 않는 두 단계 뒤 네트워크까지 트래픽을 릴레이해 도달하는 경우가 흔합니다. 이 글은 그 "이중 피보팅(double pivoting)" 기법의 원리를 재구성합니다.
Datadog Security Labs 연구팀은 2024년, 수많은 코드가 AWS의 가상머신 이미지(AMI)를 "이름"만으로 찾아 쓰고 있다는 패턴을 발견했습니다. 이 패턴을 악용하면 아무나 특정 이름의 이미지를 공개로 올려두는 것만으로 다른 사람의 AWS 계정에서 코드를 실행시킬 수 있었습니다. 연구팀은 이 방식으로 AWS 내부 시스템까지 실제로 뚫렸다는 사실을 확인했습니다.
침입탐지는 흔히 "이 파일이 악성인가"를 묻지만, 실제 침해 사고의 상당수는 새 악성코드가 아니라 시스템에 원래 있던 정상 도구로 이뤄집니다. 이 글은 공개된 위협 인텔리전스 보고서 하나를 재구성해, "무엇을 찾을 것인가"라는 가설을 어떻게 세우고 로그 쿼리로 옮기는지 그 방법론만 짚어봅니다. 실제 탐지 규칙이나 쿼리 문법은 원문·공개 시그마룰 저장소를 참고하시고, 여기서는 사고방식만 다룹니다.
서버가 암호를 아무리 튼튼하게 걸어놨어도, "네가 보낸 암호문은 채움값(패딩) 규칙에 안 맞아"라는 에러 하나만 흘리면 공격자는 그 실마리만으로 평문을 한 바이트씩 복원할 수 있습니다. 열쇠를 훔치는 게 아니라, 서버에게 "이거 규칙 맞아?"만 반복해 물어보는 고전 암호 공격입니다. 연구자 Bruno Rocha Moura가 정리한 이 공격의 원리를, 실행 코드 없이 개념으로만 짚어봅니다.
보안 연구자 한 명이 Claude Code(앤트로픽의 에이전트형 코딩 도구)와 MCP(Model Context Protocol, LLM에게 외부 도구를 함수처럼 호출하게 해주는 개방 표준)를 엮어, 취약점 헌팅 과정 대부분을 자동화한 개인 연구 파이프라인을 공개했습니다. 도구 자체보다 눈에 띄는 것은 설계 철학입니다 — 새로 찾은 결과를 처음부터 "찾아낸 취약점"이 아니라 "아직 증명 안 된 환각(hallucination)"으로 다루는 검증 관문 구조입니다.
디지털 포렌식(사고·범죄 조사를 위해 기기에서 증거를 확보·분석하는 절차) 연구자 Mattia Epifani는 2023년 10월 공개된 안드로이드14를 Pixel 7A에 한 달가량 실제로 써 보면서, 조사관 입장에서 어디에 어떤 증거가 남는지를 항목별로 정리했습니다. 이 글은 원문이 다루는 범위 안에서 "이런 파일에 이런 정보가 있다"는 지도를 요약한 것이며, 이전 버전 대비 정확히 무엇이 바뀌었는지에 대한 체계적인 비교표는 원문 자체도 제공하지 않고 개별 아티팩트를 나열하는 방식입니다(원문 확인 완료).
NVISO의 모바일 보안 연구자 Jeroen Beckers는 실제 진단 업무 중 문자열을 암호화해 숨겨둔 안드로이드 ARM64(64비트 ARM 아키텍처) 앱을 분석하게 되면서, 디버거를 붙이지 않고도 리버스엔지니어링 도구(Ghidra) 안에서 코드를 직접 실행시켜(에뮬레이션) 암호화된 문자열을 복원하는 절차를 정리했습니다. 마지막 단계는 파이썬 스크립트로 자동화해, 앱 전체의 난독화 문자열을 한 번에 풀어내는 데까지 나아갑니다.