연구 요약과 시사점은 AI가 공개 초록을 정리한 것입니다(AI 생성). 연구를 누르면 원문이 새 창에서 열립니다.
본 연구는 악성코드 바이너리를 이미지로 렌더링하여 분류하는 10개 벤치마크를 감사하고, 파일 해시 기반 중복 제거가 정보 누출을 막지 못함을 확인했다. 이미지 콘텐츠 기반 중복 제거는 최대 8점의 Top-1 정확도 및 15점의 Macro-F1 정확도 감소를 초래했으며, 렌더링 단계 자체가 19.7%의 근접 중복을 유발함을 발견했다.
시사점 악성코드 이미지 분류 연구에서는 정확도와 함께 콘텐츠 수준의 중복 및 비이미지 기반의 기준선(baseline)을 함께 보고해야 한다.
연구진은 Kaspersky Security Network(KSN)의 경보를 통해, AppDomainManager 인젝션을 사용하여 임의의 .NET 어셈블리를 로드하는 복잡한 감염 체인을 발견했다. 이 체인은 Patch My PC의 실행 파일과 설정 파일을 악용하여 다단계 페이로드를 실행시켰으며, 이는 공급망 공격의 한 형태로 분석되었다.
시사점 특정 정부용 맞춤형 시스템에 대한 공급망 공격 시나리오를 이해하고, 실행 파일 및 설정 파일의 무결성을 검증하는 것이 중요하다.
본 문서는 Amatera라는 C++ 기반 윈도우 정보 탈취 악성코드가 어떻게 작동하며, 공격 그룹의 비즈니스 모델과 함께 다양한 공격 벡터를 통해 확산되는지를 분석했다. 이 악성코드는 웹 브라우저 정보, 클라우드 동기화 파일, 암호화폐 지갑 정보 등을 탈취하며, 특히 ClickFix와 같은 사회 공학적 기법을 통해 공격이 이루어지고 있음을 확인했다.
시사점 Amatera와 같은 정보 탈취 악성코드의 진화 양상과 공격 벡터를 이해하고, 이를 방어 체계에 반영해야 한다.
본 문서는 피크 쇼핑 시즌에 소매업체가 직면하는 랜섬웨어, 데이터 탈취, DDoS 공격 등 주요 사이버 위협 유형을 분석하고 대응 전략을 제시한다. 랜섬웨어 공격의 경우, 2026년 9월 30일까지 565개 소매업체가 피해를 주장했으며, 공격자들은 TGR-CRI-1173, Spikey Scorpius 등의 그룹으로 확인되었다.
시사점 소매업체는 운영 중단 및 데이터 유출을 막기 위해 자동화된 격리 메커니즘, 제로 트러스트 접근 통제, 그리고 인라인 샌드박싱을 적용해야 한다.
본 보고서는 2026년 4월부터 9월까지 ESET 연구원들이 관찰한 특정 APT 그룹들의 활동을 요약한다. 중국, 이란, 북한, 러시아 연계 그룹들의 활동 동향과 주요 공격 대상을 분석하였다.
시사점 각 지역 및 국가별로 활동하는 APT 그룹들의 공격 목표와 전술적 변화를 파악하여 위협 인텔리전스를 확보해야 한다.
공격자들은 ChatGPT 및 Claude와 같은 AI 도구의 인기를 악용하여 Yoba라는 맞춤형 악성코드 체인을 유포하는 캠페인을 추적했다. 이들은 GPT-5.6 Sol이나 Claude와 같은 가짜 AI 데스크톱 애플리케이션을 가장한 GitHub 프로젝트를 사용했다.
시사점 AI 도구를 악용한 형태로 악성코드 유포 공격이 발생하고 있으므로 이에 대한 경각심을 가져야 한다.
본 연구는 위협 행위자의 행동을 추적하는 진화하는 논리적 시그니처인 '적대자 두뇌(Adversary Brain)'를 개념적으로 제시한다. 이는 정보 분석 기법인 경쟁 가설 분석(ACH)을 LLM을 통해 대규모로 구현하여 지속적인 탐지 메커니즘을 제공한다.
시사점 LLM을 활용하여 위협 행위의 활동 패턴을 포착하고 새로운 지표를 발견하는 데 이 개념적 프레임워크를 적용할 수 있다.
이 악성코드는 브라우저 비밀번호, 세션 쿠키, 암호화폐 지갑 정보에 더해 Claude, ChatGPT Desktop 등 AI 애플리케이션 및 개발 도구의 정보를 수집하는 기능을 결합했다. 이 악성코드는 이러한 AI 관련 정보 수집을 통해 공격 표면을 확장하고 있다.
시사점 최신 정보 탈취 악성코드는 AI 도구 사용 환경까지 공격 대상으로 삼고 있으므로 이에 대한 방어 체계를 구축해야 한다.
본 보고서는 UAC-0099가 초기 침투한 후 Sandworm에게 권한을 넘겨준 시나리오에서 사용된 MythicRatatoskr 백도어를 분석했다. 이 백도어는 Yggdrasil 메시 네트워크를 통해 C&C 서버와 통신했으며, 이후 Sandworm이 데이터 삭제 공격을 수행한 사실을 확인했다.
시사점 공격 그룹 간의 침투 도구 및 운영 방식의 협업 패턴을 이해하는 것이 중요하다.
연구진은 npm과 PyPI 생태계의 악성 패키지를 포함한 대규모 데이터셋을 구축하고, 빌드 시 소스 코드를 직접 사용하는 전략을 검토했다. 그 결과, 소스 출처 확인 여부에 따라 악성코드 방지 성공률은 87.7%에서 99.9% 사이였으며, 양호한 패키지 중에는 출처를 명시하지 않은 경우도 있었다.
시사점 소프트웨어 빌드 시 패키지 레지스트리 의존도를 줄이고 소스에서 직접 빌드하는 것이 악성코드 공격 표면을 줄이는 데 효과적이다.
본 연구는 공격자가 AI 안전 제어(safety controls)를 우회하여 자격 증명 탈취, VoIP 사기 계획, 데이터베이스 유출 등 다양한 사이버 범죄 활동을 조정하는 사례를 조사하였다. 이 활동은 AI를 활용하여 여러 유형의 사이버 범죄를 계획하고 실행하는 방법을 보여준다.
시사점 공격자가 AI를 사이버 범죄에 활용하는 새로운 방법을 이해하고 이에 대한 방어 전략을 수립해야 한다.
연구팀은 Lazarus Group이 한국의 특정 보안 소프트웨어(CrossWeb EX)를 악용하고 워터링홀 전략을 사용하여 새로운 공격 캠페인(Operation FlashHole)을 수행했음을 분석했다. 이 공격은 피싱 이메일과 가짜 웹사이트를 통해 초기 침투가 이루어졌으며, 공격은 2025년 7월경부터 관찰된 것으로 추정된다.
시사점 국내에서 사용되는 필수 보안 소프트웨어가 공격 벡터로 악용될 수 있으므로, 해당 소프트웨어의 취약점 및 공격 시나리오에 대한 지속적인 모니터링이 필요하다.
본 보고서는 안티디텍트 브라우저가 사용자의 디지털 신원을 숨겨 단일 운영자로 다수의 계정을 동시에 운영하게 만드는 것을 조명한다. 이러한 기술은 페이스북, 인스타그램, X 등 다양한 플랫폼에서 탐지 시스템을 우회하며 사용될 수 있다.
시사점 AI 기반 안티디텍트 브라우저는 온라인상에서 대규모 계정을 운영하며 탐지를 회피하는 데 사용될 수 있으므로 이에 대한 경각심을 가져야 한다.
연구팀은 정부 기관을 겨냥한 공격 캠페인(CL-UNK-1211)을 추적했으며, 공격자들이 AI 생성 페이로드와 자동화된 AI 에이전트를 활용하여 리눅스 환경에 침투했음을 확인했다. 이 공격은 웹 쉘 배포, 자격 증명 탈취, 데이터베이스 덤프 시도 등 다양한 공격 기법을 사용했다.
시사점 공격자들이 AI를 활용하여 공격 페이로드를 생성하고 공격 전반의 워크플로우를 자동화했으므로, AI 기반 공격에 대비한 방어 체계 구축이 필요하다.
본 연구는 소프트웨어 스캐닝과 하드웨어 수준의 마이크로프로세서 활동 모니터링을 결합한 새로운 프레임워크를 제안하여 랜섬웨어 탐지 및 완화를 시도했다. 이 접근 방식은 기존 방법 대비 향상된 탐지 정확도와 낮은 지연 시간을 달성했으며, 결정 과정을 설명하는 추적 수준의 해석 가능성을 제공한다.
시사점 랜섬웨어 탐지에 있어 소프트웨어적 분석과 하드웨어적 활동 모니터링을 결합하는 것이 효과적이며, 이는 탐지 정확도와 지연 시간 개선에 기여한다.
연구진은 러시아 연계 APT 그룹 UAC-0099이 사용하는 C# 다운로더 MATCHBOIL의 다양한 버전을 분석하며, 코드 난독화 기법이나 샌드박스 탐지 회피 기법의 변화를 추적했다. 이 멀웨어는 초기에는 비교적 단순했으나 이후 버전으로 갈수록 공격의 정교함이 높아지는 양상을 보였다.
시사점 APT 그룹이 사용하는 멀웨어의 진화 양상을 파악하고 각 버전에 적용된 기술적 변화를 추적하는 것이 중요하다.
본 연구는 LLM을 이용한 악성코드 분류 프레임워크 MARS를 제시하고, 직접 분류와 단일 통과 주장 점수화 방식을 비교했습니다. 직접 분류는 모든 모델에서 더 높은 정확도를 보였으며, 사용 가능한 출력 샘플에서 정확도 우위는 3.7에서 20.9 퍼센트포인트 범위였습니다.
시사점 단순히 판결(verdict)이 필요하다면 직접 분류가 유리하며, 주장(claim)을 유지하는 것은 명시적인 정책 검토 및 수정에 도움을 줄 수 있다.
공격자들은 정적 C2 엔드포인트에서 Web3 기반 스마트 계약을 이용한 동적 인프라로 진화시키며 공급망 공격을 수행한다. ChainDrop 및 PolinRider 캠페인은 오픈소스 패키지를 이용해 클라우드 접근 키를 탈취하고 Web3 메커니즘을 통해 C2를 유지하는 방식을 보여준다.
시사점 조직은 Web3 네트워크 활동이 예상되는지 평가하고, 모든 CI/CD 러너와 버전 관리 시스템에 정책 통제를 자동화해야 한다.
연구팀은 이란과 연계된 공격 그룹이 두바이 공항을 사칭하여 이라크 주요 인프라를 겨냥한 '블린더 터널' 캠페인을 수행했음을 추적했다. 이 공격은 Windows 개발 파일 익스플로잇, AppDomainManager 하이재킹, DLL 사이드로딩을 통해 초기 침투에 성공했으며 GitHub API를 C2 통신에 악용했다.
시사점 지속적으로 진화하는 국가 지원 공격 그룹의 활동 패턴과 침투 기술을 인지하고 방어 체계를 구축해야 한다.
아리조나 주 법원 시스템이 피싱 공격으로 인해 해킹되었다. 공격자는 보호 명령 기록과 15만 개 이상의 양육 검토 보드 보고서를 포함한 백업 파일을 복사했다.
시사점 이 보고서는 실무자들이 최근 사이버 공격 사례를 인지하고 대응 전략을 수립하는 데 참고할 수 있다.
랜섬웨어 공격을 효과적으로 탐지하기 위해 오토인코더와 메타러닝을 결합한 하이브리드 딥러닝 프레임워크를 제안한다. Ransomware Dataset 2024에서 1~50 샷 설정에서 정확도, F1 점수, 매튜스 상관계수(MCC)가 높게 나타났다.
시사점 소수 샘플로도 높은 탐지 성능을 보이는 하이브리드 모델은 제한된 라벨 데이터 환경에서 악성코드 대응력을 향상시킬 수 있다.
본 페이지의 연구 요약은 공개된 초록을 AI가 한국어로 정리한 것으로, 원문과 차이가 있을 수 있습니다. 정확한 내용은 반드시 원문을 확인하십시오. 본문과 PDF는 제공하지 않으며, 모든 저작권은 각 저자와 발행처에 있습니다.