Linux 서버, Android 모바일 기기, Sitecore 플랫폼에 대한 활성 공격: 경고가 쌓이고 있습니다. CISA는 사용 가능한 패치에도 불구하고 이미 침해를 관찰하고 있습니다. 공격자들은 업데이트가 간과된 시스템을 악용하고 있습니다. 의심할 시간은 끝났지만, 에스컬레이션과 크로스 플랫폼 랜섬웨어를 방지하기 위한 즉각적인 조치가 필요합니다. Linux 커널: TOCTOU CVE-2025-38352 취약점의 빠른 악용
7월부터
Trend Micro 와 Kaspersky 의 연구원들은 handle_posix_cpu_timers() 함수에 영향을 미치는 경쟁 조건을 표적으로 하는 스크립트를 추적해 왔습니다. 등급 7.4인 이 취약점은 2.6.36부터 6.16.3까지의 버전에 영향을 미칩니다. 간단한 시간 제한 요청으로 권한 상승이 유발됩니다. 파리에 위치한 한 호스팅 제공업체에서 공격자는 30초도 채 되지 않아 격리된 컨테이너를 슈퍼유저로 전환했습니다. 로그에는 Tor 서버에서 다운로드한 바이너리가 실행된 후 자체 제작한 루트킷으로 위장한 모습이 기록되어 있습니다.Fortinet은 현재 IDS 알림의 12%에서 이 코드를 탐지합니다. 패치되지 않은 컨테이너의 사용 빈도는 커널 업그레이드 후 공개 Docker 이미지가 항상 재컴파일되는 것은 아니기 때문에 위험을 증폭시킵니다. Palo Alto Networks는 다음을 강조합니다. 올바른 조치는 커널이 업데이트된 후 노드를 재부팅하는 것이며, 그렇지 않으면 이전 코드가 계속 활성화됩니다. Android 및 CVE-2025-48543: 샌드박스 이스케이프, 전체 기기 접근
임베디드 Chrome 엔진의
Use-after-Free(사용 후 해제) 결함은 system_server 프로세스로의 접근을 허용합니다. 8.8점이며, 어떠한 상호 작용도 필요하지 않습니다. 운송 회사 소유의 스마트폰에서 공격자는 부비트랩이 설치된 웹사이트를 푸시했습니다. 5초 만에 은행 맬웨어가 시스템 권한을 획득했습니다.Check Point 이미 영구 백도어를 설치할 수 있는 천 개 이상의 변종이 나열되어 있습니다. 9월 패치는 안드로이드 13~16에 제공되지만, ESET에 따르면 유럽 기기의 38%만이 패치를 받았습니다. 타사 앱 스토어는 상황을 더욱 악화시키고 있습니다. 일부 앱 스토어는 패치 이전에 컴파일된 APK를 여전히 배포하고 있습니다. 이러한 불일치를 고려하여 Bitdefender는 내부 배포 전에 SafetyNet 검증을 요구할 것을 권장합니다. 모바일 규모는 공격 표면을 재정의하고 있습니다. 손상된 휴대폰 한 대만으로도 이메일이나 VPN 서비스를 통해 기업 네트워크에 침투하기에 충분한 경우가 많습니다. Sitecore: CVE-2025-53690 역직렬화 취약점, CMS에 압박 가해 Mandiant가 은행 사고에서 발견한 이 역직렬화 취약점은 프로덕션 환경에 남아 있는 머신 키 샘플을 악용합니다. CVSS 점수 9.0으로 원격 DLL 삽입이 가능합니다. 전형적인 사례에서 컨설턴트가 고객의 GitLab 저장소를 복제했는데, 테스트 키는 여전히 활성 상태였습니다. 그 결과, 두 번의 요청으로 웹 셸이 실행되었습니다. 시만텍은 이제 이 공격의 원인을 노코야와(Nokoyawa) 그룹의 캠페인으로 추적하고 있습니다. 노코야와 그룹은 대응을 난독화하기 위해 Linux와 Sitecore를 혼합하는 것을 선호합니다. 보호에는 즉각적인 키 교체와 10.3 버전에 도입된 “강화” 모드 활성화가 포함됩니다. SOC 팀은 모니터링이 부족한 많은 마케팅 서버가 여전히 사이버 범죄자의 온상인 9.x 버전을 실행하고 있다는 점에 주목합니다. 플레이북이 App_Config 폴더를 무시하지 않는 한 Ansible 자동화를 통해 구성을 수정할 수 있습니다.하이브리드 전술: 크로스 플랫폼 랜섬웨어 및 자동화된 익스플로잇 체인 최근 캠페인에서는 대상 시스템을 모의 공격합니다. 오픈소스 도구인 “Erebus”는 단일 명령으로 .ELF, .DEX 및 .DLL 파일용 로더를 컴파일합니다. McAfee는 한 분기에 혼합 사고가 48% 증가했다고 보고했는데, 이는 이미 예측된 현상입니다.
체크포인트 리서치
2024년. 운영자는 먼저 백업을 암호화한 다음 협상 속도를 높이기 위해 DDoS 공격을 실행합니다. 리옹에 본사를 둔 한 호스팅 제공업체는 Windows 및 Linux VM이 이미 인질로 잡힌 상황에서 프라이빗 클라우드가 포화 상태에 이르렀습니다.
소포스는 익스플로잇 킷이 CVE 2025 시리즈를 CI/CD 파이프라인에 통합한다고 지적합니다. 패치가 출시되는 즉시 시그니처가 업데이트됩니다. 이러한 산업화로 인해 취약점과 공격 사이의 간격이 몇 시간으로 단축됩니다. 따라서 CISO는 예측해야지, 따라야 할 필요가 없습니다.이러한 역학 관계는 기존의 SLA를 방해합니다. 주요 패치 적용을 위한 30일 기간은 익스플로잇이 24시간 이내에 도착하면 더 이상 유효하지 않습니다. 즉각적인 조치: 패치, 세그먼트화 및 지속적인 모니터링 첫 번째 단계는 여전히
패치 관리
입니다. 영향을 받는 커널은 공개되며, 정기적인 야간 재부팅을 통해 영향을 제한합니다. Android에서는 MDM이 최소 보안 버전을 강제로 적용해야 합니다. Sitecore의 경우, 키 감사 및 WAF 모듈의 필수 활성화가 추가적인 보호 기능을 제공합니다. 다음은 Palo Alto Networks에서 권장하는 네트워크 분할입니다. CMS 서버를 내부 PostgreSQL 및 NFS 공유에서 분리하는 것입니다. 마지막으로 모니터링이 필요합니다. Bitdefender와 Trend Micro의 EDR은 이미 handle_posix_cpu_timers()와 관련된 비정상적인 시스템 호출을 탐지하고 있습니다. CVE-2025-53690에 초점을 맞춘 YARA 규칙을 추가하면 바이너리 페이로드 업로드가 차단됩니다. 마지막으로 팀 교육은 여전히 중요합니다. FIC 2025에서 발표된 피드백에 따르면, Fortinet의 오픈소스 플레이북을 기반으로 하는 분기별 사고 대응 훈련은 MTTR(평균 복구 시간)을 절반으로 줄입니다. Sophos 내부 연구에 따르면 CISA 경보 발생 후 패치 배포까지 72시간 이내에 도달하는 조직은 악용 가능한 표면적을 85% 줄입니다. 점점 더 빨라지는 공격자들에 맞서기 위해서는 지속적인 개선의 순환만이 회복력을 보장합니다.
Comments
Leave a comment