연구 요약과 시사점은 AI가 공개 초록을 정리한 것입니다(AI 생성). 연구를 누르면 원문이 새 창에서 열립니다.
CLOADER는 Frida와 Xposed와 같은 훅킹 도구의 탐지를 우회하기 위해 정적 설정을 동적 회피 전술로 대체하는 프레임워크를 제안한다. 평가 매트릭스에서 90%의 우회율을 보였다.
시사점 이 연구는 기존 모바일 보안 시스템을 우회할 수 있는 새로운 공격 기법을 제시하여, 모바일 보안 강화 및 테스트 전략을 재검토할 필요가 있다.
안드로이드 악성코드 가족 분류에서 레이블 노이즈와 클래스 불균형 문제를 해결하기 위해 RoMaC 프레임워크를 제안한다. RoMaC는 레이블 노이즈를 수정하고, 헤드-가족과 테일-가족 샘플을 구분 처리하여 성능을 향상시켰으며, 30%의 샘플이 암호화된 경우 전체 Macro-F1 점수 0.803, 정확도 0.871, 테일-클래스 Macro-F1 점수 0.672, 정확도 0.784를 달성했다.
시사점 안드로이드 악성코드 분류 시 레이블 노이즈와 클래스 불균형 문제를 동시에 고려한 RoMaC 프레임워크를 적용하여 분류 정확도를 향상시킬 수 있다.
Kaspersky는 중동 제조업체에서 PAYLOAD 랜섬웨어가 Active Directory의 GPO를 악용해 랜섬노트를 배포하고 데스크탑 화면과 로그온 배너를 조작한 사례를 분석했다. 공격자는 GPO를 통해 모든 도메인 가입 Windows 워크스테이션에서 로컬 관리자 계정을 비활성화했으며, 파일 암호화 없이 운영 방해를 유발했다.
시사점 이 사례는 GPO를 악용한 랜섬웨어 공격이 기존 탐지 도구를 우회할 수 있음을 보여주며, Active Directory 보안 강화와 GPO 모니터링의 필요성을 강조한다.
랜섬웨어가 파일 작업을 분산시키는 방식을 감지하기 위해, 파일 이벤트 기반 그래프를 생성해 유사 행동을 클러스터링하는 DEFEAT 프레임워크를 제안한다. 9780만 개의 파일 I/O 이벤트를 기반으로 99.2% 정확도를 달성했으며, 기존 방법 대비 6.57~7.56% 높은 성능을 보였다.
시사점 랜섬웨어 분석 시 파일 간 관계를 그래프로 재구성해 조기 감지가 가능하다는 점을 실증했다.
랜섬웨어 탐지에서 기존의 고정된 감독 학습 방식의 한계를 극복하기 위해 훈련 시 딥러닝 강화 학습 프레임워크인 DDQN-MLP를 제안한다. 2,000개 샘플을 대상으로 한 실험에서 정확도 99.30%, F1 0.9930, ROC-AUC 0.9991을 달성했다.
시사점 이 연구는 랜섬웨어 탐지 시스템의 정확도와 설명 가능성을 동시에 향상시키는 새로운 프레임워크를 제시한다.
델파이 스캐너(Delphi Scanner)는 Windows PE 파일의 정적 악성코드 탐지를 위해 API 시퀀스를 모델링하는 시스템이다. 컨볼루션 신경망(CNN)을 사용하여 API 시퀀스를 분석하고, 규칙 기반 레이어를 통해 API를 고수준 악성 기능으로 분류하여 해석성을 제공한다. 190,000개 이상의 Windows PE 파일을 평가한 결과, 95.35%의 정확도를 달성했으며, 모델 크기는 1.53MB이다.
시사점 델파이 스캐너는 해석성과 효율성을 갖춘 악성코드 탐지 시스템으로, 로컬 배포 환경에서 실용적인 악성코드 분류에 활용할 수 있다.
Kaspersky는 토렌트 파일 저장소를 악용한 새로운 악성코드 캠페인인 MovieReaper를 분석했다. 악성 토렌트 파일은 사용자가 다운로드 시 악성 로더를 배포하여 다단계 감염 체인을 실행한다.
시사점 토렌트 사용자는 다운로드 파일의 해시를 확인하고, 보안 제품을 최신 상태로 유지해야 한다.
중국 연계 APT 그룹 FamousSparrow가 2025년 8월 이후 기존 SparrowDoor를 대체하는 새로운 C++ 백도어 SparroWocky를 사용하고 있음을 밝혔다. SparroWocky는 모듈식 구조로, 런타임 코드 패치와 오픈소스 도구 통합을 통해 탐지를 회피한다.
시사점 라틴아메리카 정부 기관을 표적으로 삼는 중국 연계 APT 그룹의 새로운 백도어를 확인하여, 해당 지역 보안 모니터링이 필요하다.
보안팀은 NightEagle 그룹이 러시아 기업을 표적으로 삼아 GhostContainer 백도어와 트래픽 리디렉션 기법을 사용한 공격을 분석했다. 공격자는 Microsoft Exchange 서버를 탈취하고 RDP를 통해 내부 네트워크로 이동하며 Active Directory 취약점을 악용했다.
시사점 러시아 기업은 GhostContainer 백도어와 RDP 기반의 트래픽 리디렉션, Active Directory 취약점 악용 공격에 주의해야 한다.
AMOS 스틸러는 macOS 시스템을 표적으로 하는 정보 스틸러 악성코드로, 2024년 4월 텔레그램에서 처음 홍보되었다. 2026년 8월 감염 사례를 분석하여, 악성코드의 배포 방식과 데이터 유출 경로를 조사했다.
시사점 AMOS 스틸러는 macOS 환경에서 다양한 애플리케이션의 민감 정보를 유출하며, 배포 방식과 네트워크 인프라가 빈번히 변경된다.
저자는 eBPF를 통해 커널 레벨 이벤트를 수집하고 공급망 그래프를 생성하여 MITRE ATT&CK 프레임워크에 매핑하는 방법론을 제시한다. Trace2ATT&CK 파이프라인을 구현하고 347개의 Linux Atomic Red Team 테스트에서 평가한 결과, RAG를 사용한 매핑 성능이 순수 프롬프팅보다 뛰어나며, 공급망 그래프가 원시 텔레메트리보다 우수함을 보인다.
시사점 이 연구는 커널 레벨 텔레메트리 기반의 자동 ATT&CK 매핑을 실용적으로 구현할 수 있음을 보여주어, 보안 분석의 효율성을 높이는 데 기여할 수 있다.
ESET 연구원들은 러시아 계열 해킹 그룹 UAC-0099가 AI 기반 코드 분석 도구를 방해하기 위해 악성 스크립트에 가짜 핵무기 개발 요청 주석을 삽입하는 기법을 발견했다. 이 기법은 분석 도구가 해당 파일을 더 이상 검토하지 않도록 유도한다.
시사점 이 기법은 AI 기반 코드 분석 시스템의 안전 장치를 우회할 수 있으므로, 다중 모델과 인간 전문가의 협업을 통해 분석 결과를 검증하는 방식이 필요하다.
게이머를 표적으로 한 대규모 사이버 범죄 캠페인을 분석하고, 악성코드 배포 인프라를 조사했다. 10,000개 이상의 로더 샘플을 확인했다.
시사점 게이머와 기업 둘 다 피해를 입을 수 있는 악성코드 배포 방식을 주의해야 한다.
악성코드가 사용하는 전술·기술·절차(TTP) 정보를 신경망 모델에 제공함으로써 악성 활동을 정밀하게 탐지하는 방법을 제안한다. 기존 모델 대비 정밀도가 높고, 드문 TTP를 사용하는 악성코드도 효과적으로 탐지할 수 있음을 보인다.
시사점 악성코드 분석 시 TTP 정보를 모델에 통합하면 정밀도를 높일 수 있다.
SCRIPTIOC-BENCH라는 벤치마크를 제안하고, 악성 스크립트에서 IOC를 추출하는 LLM의 능력을 평가한다. 가장 강력한 모델도 F1 65.4에 그친다.
시사점 SCRIPTIOC-BENCH를 통해 LLM이 악성 스크립트에서 IOC를 추출하는 능력을 평가할 수 있으며, 모델 성능 개선 방향을 제시한다.
Thomson Reuters의 C-Track 법원 사건 관리 플랫폼이 11개 미국 주와 캐나다의 법원에 영향을 미친 침해 사례를 보고한다. 침입자는 C-Track 파일에 접근하여 정보를 유출하였다.
시사점 Thomson Reuters의 C-Track 플랫폼 침해 사례를 통해 법원 시스템의 보안 취약성을 인식하고 대응 방안을 강화해야 한다.
랜섬웨어 탐지와 가족 속성 부여를 위해 다양한 모달리티 분석이 필요하지만 기존 방법은 계산 비용과 지연을 증가시킨다. 비용 인식형 계층적 멀티에이전트 시스템(HMAS)을 제안하여 정확도 96.57%, F1 0.96, ROC-AUC 0.99를 달성했으며, 분석 비용을 43.97% 절감했다.
시사점 이 연구는 랜섬웨어 분석 시 정확도와 비용을 균형 있게 조절할 수 있는 새로운 시스템을 제시하여 실무에서 효율적인 탐지 솔루션으로 활용될 수 있다.
Toy Ghouls 그룹이 2026년 7월부터 사용하는 새로운 백도어 'bird' 시리즈를 분석했다. MQTT 브로커와 Element 메신저를 C2 서버로 활용하는 두 가지 버전을 확인했다.
시사점 WinRM을 통한 배포와 C2 통신 방식을 이해하면 이 공격에 대한 탐지와 대응 전략을 수립할 수 있다.
Check Point Research는 2025년 중반부터 브라질 기관을 대상으로 지속적인 공격 캠페인을 추적했다. 중국어 사용 사이버 범죄 그룹이 Earth Berberoka와 연결되어 있으며, 이 그룹은 아시아의 도박 사이트를 표적으로 한 적이 있다. 공격자는 희생자 시스템에 커스텀 다운로더, 여러 백도어 등을 배포한다.
시사점 이 보고서는 브라질 정부 기관의 사이버 보안 취약성을 드러내며, 중국어 사용 사이버 범죄 그룹의 전략적 공격 활동을 주의 깊게 모니터링할 필요가 있다.
PhantomCall은 Windows PE 악성코드의 함수 호출 그래프(FCG)를 변형하여 머신러닝 기반 악성코드 탐지를 회피하는 적대적 공격 기법이다. 평가 결과, MalConv, MalGraph, SAFE+GNN 탐지 시스템에서 85-100%의 공격 성공률을 기록했으며, 기존 최고 수준보다 최대 95.5% 포인트 높은 성능을 보였다.
시사점 이 연구는 기존 머신러닝 기반 악성코드 탐지 시스템의 취약점을 드러내며, FCG 기반의 탐지 방식에 대한 재검토가 필요하다는 시사점을 제공한다.
Mirage Kitten APT 그룹이 새로운 Node.js 및 JavaScript 기반의 RAT(NodeRabbit, PollCat)를 사용하여 아프가니스탄, 이집트, 에티오피아의 시스템에 침투하는 공격을 수행하고 있음을 밝혀냈다. 공격자는 채용 과정을 가장한 악성 코드 아카이브를 통해 악성코드를 배포하고 있다. NodeRabbit은 Windows, Linux, macOS에 영향을 주며, C2 서버와의 통신을 위해 Azure 호스팅 인프라를 사용한다.
시사점 APT 그룹이 Node.js 및 JavaScript 기반의 악성코드를 사용하는 새로운 공격 방식을 채택하고 있어, 개발자 및 보안 전문가들은 채용 과정에서 제공되는 코드 아카이브에 주의해야 한다.
본 페이지의 연구 요약은 공개된 초록을 AI가 한국어로 정리한 것으로, 원문과 차이가 있을 수 있습니다. 정확한 내용은 반드시 원문을 확인하십시오. 본문과 PDF는 제공하지 않으며, 모든 저작권은 각 저자와 발행처에 있습니다.