여러 해킹 그룹이 일주일 안에 동일한 크롬 악성코드를 사용했습니다. 이는 무엇을 의미할까요?

전문가들은 중국 정부와 연관된 일부 그룹을 포함한 네 개의 해킹 그룹이 단 일주일 만에 동일한 공격 도구를 사용하는 것이 포착됐다고 경고하며, 이는 범죄자들 사이에서 일종의 '놓치는 것에 대한 두려움'(FOMO)이 작용하고 있음을 시사한다고 밝혔습니다.

보안 연구기관인 프루프포인트(Proofpoint)는 크로뮴 (Chromium) 의 취약점 두 가지 와 윈도우 10(2018년 10월 업데이트), 윈도우 서버 2019, 윈도우 10 2004, 윈도우 서버 2022, 윈도우 11 초기 버전을 포함한 이전 버전의 윈도우에서 발견되는 취약점 한 가지를 악용하는 익스플로잇 패키지인 블루문(BlueMoon)에 대한 세부 정보를 공개했습니다.

이 공격 패키지는 2026년 8월 28일에 처음 발견되었으며, TA412라는 중국 정부 지원 공격 단체가 사용했습니다. TA412는 이전에도 마이크로소프트 SharePoint를 사용하는 기업들을 표적으로 삼은 바 있습니다. 바이올렛 타이푼으로도 알려진 TA412는 블루문(BlueMoon)을 이용하여 소수의 미국 비정부기구(NGO), 광업 회사, 실물 상품 거래 회사들을 반복적으로 공격했습니다.

그 직후, 세 개의 추가 그룹이 확인되었습니다. 중국의 지원을 받는 또 다른 스파이 그룹인 UNK_LateNight는 여러 미국 항공우주 기업을 표적으로 삼았고, UNK_DoubleCheck는 베트남의 제조 업체를 표적으로 삼았으며, UNK_QuietRacket은 싱가포르와 인도네시아의 조직을 표적으로 삼는 위협 행위자였습니다.

이러한 집단들의 공통점은 자신들의 활동을 숨기려는 노력을 거의 하지 않았다는 것입니다. 이는 이례적인 일인데, 일반적으로 은밀한 접근 방식은 취약점을 더 오랫동안 악용할 수 있도록 해주기 때문입니다.

크롬 취약점을 악용하기 위한 경쟁

BlueMoon 악성코드는 세 가지 보안 취약점을 악용합니다. 두 가지는 Chromium에서, 나머지 하나는 이전 버전의 Windows에서 발견되었습니다. Chromium 취약점은 브라우저에서 애플리케이션이 효율적으로 작동하도록 하는 데 사용되는 JavaScript 엔진인 V8에서 발견되었습니다. 첫 번째 취약점은 "종 중복" 오류로, CVE-2026-85046으로 지정되었으며 심각도 점수는 10점 만점에 8.8점(높음)입니다. 두 번째는 "격리 환경 탈출" 취약점으로, Google은 이에 대해 CVE 번호나 심각도 점수를 지정하지 않았습니다.

CVE-2026-85880으로 식별된 이 Windows 취약점은 심각도 등급이 7.8/10(높음)입니다. 이 취약점은 Windows 고급 로컬 프로시저 호출(ALC)에서 발생하는 "힙 기반 버퍼 오버플로"로 설명되며, 낮은 권한의 AppContainer 내에서 코드를 실행할 수 있는 공격자가 격리 환경을 벗어나 SYSTEM 수준으로 권한을 상승시킬 수 있도록 합니다. 이 과정은 추가적인 사용자 상호 작용이 필요하지 않습니다.

프루프포인트는 범죄자들이 은밀하게 활동하기보다는 공개적으로 활동하는 이유에 대한 이론을 제시합니다. 구글이 크로뮴의 취약점을 패치한 후 엣지나 브레이브 같은 브라우저 에 해당 업데이트를 배포하기까지의 시간이 매우 짧다는 것 입니다. 이 짧은 시간 동안 범죄자들은 ​​구글이 취약점을 어떻게 수정하는지 알아내고, 리버스 엔지니어링을 통해 이를 악용한 악성코드를 만들어 브라우저 패치가 배포되기 전에 공격할 수 있습니다. 즉, 숨어 지낼 시간이 없다는 뜻입니다.

숨을 시간이 없어

Proofpoint는 "두 가지 V8 취약점 모두 관찰 당시 '패치 공백'을 악용한 제로데이 공격이었다"고 밝혔습니다. 이어 "즉, 이러한 취약점은 크로미움 공개 소스 코드에서는 이미 알려지고 패치되었지만, 크롬의 최신 안정 버전과 공개적으로 사용 가능한 크로미움 기반 브라우저에서는 패치되지 않은 상태로 남아 있었다"며, "익스플로잇 키트 개발자가 이러한 공개된 크로미움 업데이트를 이용하여 브라우저 공격 체인을 악용한 것으로 보인다"고 덧붙였습니다.

또 다른 중요한 요소는 인공지능(AI)입니다. AI는 취약점 발견 과정을 크게 가속화하여 진입 장벽을 낮추고 위협 행위자들이 더욱 명확하게 움직일 수 있도록 만들었습니다.

Proofpoint는 "완벽하게 구성된 Chrome 익스플로잇 체인은 과거에는 매우 드물고 가치가 높은 역량이었습니다. BlueMoon은 신속하게 개발, 배포되어 여러 위협 행위자들과 며칠 만에 공유되었으며, 높은 탐지율을 보였습니다. 이는 AI 요소가 위협 행위자들의 익스플로잇 개발을 점점 더 용이하게 함에 따라 이러한 유형의 역량에 대한 비용과 진입 장벽이 낮아지고 있음을 반영하는 것일 수 있습니다."라고 밝혔습니다.

세 가지 취약점 모두 패치되었으므로 운영 체제 와 크로뮴 브라우저 모두 최신 버전을 사용하고 있는지 확인하십시오.

Ars Technica를 통해