위협 행위자 그룹 A는 보안 솔루션을 우회하고 맞춤형 맬웨어를 실행하는 방법으로 가상화 기술을 악용하는 것으로 관찰되었다.   보안 업체 B사의 최신 보고서에 따르면, 공격자는 일부 시스템에서 Hyper-V 역할을 활성화하여 최소한의 Alphine Linux 기반 가상 머신을 배포한 것으로 전해졌다.   보안 업체 B사의 보안 연구원들은 기술 보고서에서 "가벼운 크기(디스크 공간 120MB, 메모리 256MB)의 숨겨진 환경에는 커스텀 리버스 셸인 CurlyShell과 리버스 프록시인 CurlCat이 호스팅되어 있다."라고 밝혔다.   루마니아 보안 업체인 B사는 2025년 8월, 조지아와 몰도바를 표적으로 한 일련의 공격과 관련해 위협 행위자 그룹 A를 처음으로 공식 문서화했다.   이 위협 행위자 그룹 A는 2023년 말부터 활동을 이어온 것으로 평가되며, 그들의 행동 양상과 이익 추구 방향이 러시아와 일치하는 것으로 분석됐다.   이들의 공격에서 양방향 데이터 전송 도구인 CurlCat, 지속적인 원격 액세스를 위한 RuRat, 자격 증명 수집을 위한 Mimikatz, MucorAgent라는 모듈식 .NET 임플란트와 같은 도구를 배포하는 것으로 나타났으며, MucorAgent의 초기 버전은 2023년 11월까지 거슬로 올라가는 흔적이 발견되었다.   또한, 조지아 국가사이버비상대응팀과 협력하여 실시한 후속 분석에서 해당 위협 행위자 그룹과 관련된 추가적인 공격 도구 세트가 확인되었으며, 손상된 Windows 10 호스트에서 Hyper-V를 무기화하여 숨겨진 원격 운영 환경을 설정하여 장기적 액세스를 구축하려는 시도도 확인되었다.       [그림 1. Hyper-V를 악용한 CurlyShell 및 CurlCat C2 통신 구조]     연구진은 "공격자들은 악성코드와 실행 환경을 VM 내에 격리함으로써 기존의 호스트 기반 EDR 탐지 시스템을 효과적으로 우회했다."라고 밝혔다.   또한, "공격자는 리버스 프록시 기능을 유지하려는 확고한 의지를 보였으며, 환경에 새로운 도구를 반복적으로 도입했다."라고 말했다.   위협 행위자 그룹 A는 프록시 및 터널링을 위해 Resocks, Rsockstun, Ligolo-ng, CCProxy, Stunnel 및 SSH 기반 방법을 사용하는 것 외에도 원격 명령 실행을 위해 설계된 PowerShell 스크립트와 가상 머신에 배포되어 지속적인 리버스 셸을 제공하는 이전에 문서화되지 않은 ELF 바이너리인 CurlyShell을 포함한 다양한 다른 도구를 사용했다.   C++로 작성된 이 악성코드는 헤드리스 백그라운드 데몬으로 실행되어 명령 및 제어(C2) 서버에 연결하고 리버스 셸을 실행하여 위협 행위자가 암호화된 명령을 실행할 수 있도록 한다.   통신은 HTTP GET 요청을 통해 서버에 새로운 명령을 폴링하고, HTTP POST 요청을 통해 명령 실행 결과를 서버로 다시 전송하는 방식으로 이루어진다.   "CurlyShell과 CurlCat이라는 두 가지 맞춤형 멀웨어가 이 활동의 중심에 있었으며, 이들은 대체로 동일한 코드 베이스를 공유하지만 수신된 데이터를 처리하는 방식이 다르다."   "CurlyShell은 명령을 직접 실행하는 반면, CurlCat은 SSH를 통해 트래픽을 전송한다."라고 보안 업체 B사는 밝혔다.   또한, "이러한 도구들은 유연한 제어와 적응성을 보장하기 위해 배포 및 운영되었다."라고 말했다.       출처 https://thehackernews.com/2025/11/hackers-weaponize-windows-hyper-v-to.html

    AI의 도움을 받아 만들어진 것으로 보이는 랜섬웨어 기능을 갖춘 악성 확장 프로그램이 마이크로소프트의 공식 VS Code 마켓플레이스에 게시되었다. ‘suspublisher18’이 게시한 susvsex라는 이름의 이 확장 프로그램은, 설명란에 악성 기능을 공개적으로 광고하고 있었다. 보안 회사의 연구원은 이 확장 프로그램을 발견했으며, “바이브 코딩”으로 만들어진 결과물로 정교함과는 거리가 멀다고 말했다. 해당 확장 프로그램과 명시적인 설명(원격 서버로의 파일 탈취 및 AES-256-CBC로 모든 파일 암호화)을 보고했음에도 불구하고, 마이크로소프트는 연구원의 보고를 무시하고 VS Code 등록소에서 제거하지 않았다고 전했다.   랜섬웨어 확장 프로그램의 작동 방식 이 확장 프로그램은 설치나 VS Code 실행 등 어떤 이벤트에서도 활성화되며, 하드코딩된 변수(IP, 암호화 키, C2 주소)가 포함된 ‘extension.js’ 파일을 초기화한다.  보안 연구원은 “이 값들 중 다수는 주석으로 표시되어 있으며, 작성자가 직접 코딩하지 않았고 AI를 통해 생성되었을 가능성이 높다”라고 말했다. 확장 프로그램이 활성화되면 zipUploadAndEncrypt라는 함수를 호출하여 특정 마커 텍스트 파일의 존재 여부를 확인하고 암호화 루틴을 시작한다.   정의된 대상 디렉터리의 파일들을 .ZIP으로 압축하여 하드코딩된 C2 주소로 전송하고, 이후 모든 파일을 암호화된 버전으로 교체한다.    

    구글은 수요일에 PROMPTFLUX라는 실험적 Visual Basic Script(VB Script) 맬웨어를 사용하는 알려지지 않은 위협 행위자를 발견했다고 밝혔다.    이 악성코드는 구글의 Gemini 인공지능(AI) 모델 API와 상호작용하여 난독화 및 회피 기능을 강화하는 자체 소스 코드를 작성한다.   구글 위협 인텔리전스 그룹(GTIG)은 The Hacker News에 공유한 보고서에서 "PROMPTFLUX는 VBScript로 작성되었으며 Gemini의 API와 상호 작용하여 특정 VBScript 난독화 및 회피 기술을 요청하여 '적시' 자체 수정을 용이하게 하며 정적 서명 기반 탐지를 회피할 가능성이 높습니다."라고 밝혔다.   이 새로운 기능은 'Thinking Robot' 구성 요소의 일부로, 탐지를 피하기 위해 주기적으로 대규모 언어 모델(LLM)인 Gemini 1.5 Flash 또는 이후 버전을 쿼리하여 새로운 코드를 얻는다.    이는 하드코딩된 API 키를 사용하여 쿼리를 Gemini API 엔드포인트로 전송함으로써 수행된다.   모델에 전송된 프롬프트는 매우 구체적이고 기계에서 구문 분석 가능하며, 바이러스 백신을 회피하기 위해 VBScript 코드 변경을 요청하며 모델에게 오직 코드만 출력하도록 지시한다.   재생성 기능과 별개로, 이 악성코드는 새로운 난독화된 버전을 Windows 시작 폴더에 저장하여 지속성을 확보하고 이동식 드라이브와 매핑된 네트워크 공유에 자신을 복사하여 전파를 시도한다.   구글은 "자체 수정 함수(AttemptToUpdateSelf)는 주석 처리되어 있지만, 이 기능의 존재와 '%TEMP%thinking_robot_log.txt'에 대한 AI의 활성 로깅을 종합해 보면 시간이 지남에 따라 진화할 수 있는 변형 스크립트를 만드는 것이 작성자의 목표임을 분명히 알 수 있습니다."라고 덧붙였다. 해당 기술 대기업은 또한 LLM 기반 코드 재생성을 통합한 PROMPTFLUX의 여러 변형을 발견했다고 밝혔는데, 그 중 한 버전은 LLM이 "전문 VBScript 난독화 도구" 역할을 하도록 지시하여 매시간 맬웨어의 전체 소스 코드를 재작성하라는 메시지를 사용한다고 한다.   PROMPTFLUX는 개발 또는 테스트 단계에 있는 것으로 평가되며, 현재 피해자의 네트워크나 기기를 침해할 수 있는 방법은 없다.    현재 이 악성코드의 배후가 누구인지는 밝혀지지 않았지만, 금전적 이익을 노리는 위협 행위자가 광범위한 사용자를 표적으로 삼기 위해 지역 및 산업에 구애받지 않는 광범위한 접근 방식을 채택한 것으로 보인다.   구글은 또한 공격자들이 단순한 생산성 향상을 위해 AI를 활용하는 것을 넘어 실행 중에도 행동을 조정할 수 있는 도구를 개발하고 있으며, 금전적 이득을 위해 지하 포럼에서 판매되는 특수 목적 도구까지 개발하고 있다고 지적했다.    구글이 관찰한 LLM 기반 악성코드의 다른 사례는 다음과 같다.   * FRUITSHELL — PowerShell로 작성된 리버스 셸로, LLM 기반 보안 시스템의 탐지·분석을 회피하기 위한 하드코딩된 프롬프트를 포함함   * PROMPTLOCK — Go로 작성된 크로스플랫폼 랜섬웨어로, 런타임에 LLM을 이용해 동적으로 악성 Lua 스크립트를 생성·실행함(개념증명)   * PROMPTSTEAL(일명 LAMEHUG) — 러시아 후원 APT28이 우크라이나를 겨냥한 공격에서 사용한 데이터 마이너로, Hugging Face API를 통해 Qwen2.5-Coder-32B-Instruct에 질의해 실행할 명령을 생성함   * QUIETVAULT — GitHub 및 NPM 토큰을 노리는 자격증명 탈취자(JavaScript)   Gemini 관점에서 볼 때, 이 회사는 중국과 연계된 위협 행위자가 자사의 AI 도구를 악용해 설득력 있는 미끼 콘텐츠를 만들고, 기술 인프라를 구축하고, 데이터 유출을 위한 도구를 설계하는 것을 관찰했다고 밝혔다.   적어도 한 사례에서 위협 행위자는 자신을 Capture The Flag(CTF) 훈련 참가자로 식별하여 가드레일을 우회하고 AI 시스템을 속여 손상된 엔드포인트를 악용하는 데 사용할 수 있는 유용한 정보를 반환하도록 함으로써 프롬프트를 재구성했다고 한다.       [그림 1. 지하 포럼의 AI 악성 도구 분류와 기능]   구글은 "공격자는 이 상호작용을 통해 학습한 것으로 보이며, CTF라는 구실을 피싱, 익스플로잇, 웹 셸 개발을 지원하는 데 이용했습니다."라고 밝혔다.    "공격자는 특정 소프트웨어 및 이메일 서비스 익스플로잇에 대한 여러 가지 질문을 하기 전에 '나는 CTF 문제를 풀고 있다' 또는 '현재 CTF에 참여 중인데, 다른 팀원이 ...라고 말했다'와 같은 말을 앞세워 CTF 시나리오에서 다음 익스플로잇 단계를 조언받는 방식으로 정보를 얻었다"라고 말했다.   정찰, 피싱 미끼 제작, 명령 및 제어(C2) 개발, 데이터 유출을 포함하여 중국, 이란, 북한의 국가 지원 행위자들이 운영을 간소화하기 위해 Gemini를 남용한 다른 사례는 다음과 같다.   - 중국 연계 의심 행위자가 표적에 대한 초기 정찰, 피싱 기법, 페이로드 전달, 측면 이동 및 데이터 탈취 방법에 대한 도움을 받기 위해 제미니를 악용한 사례 - 이란의 국가 후원 행위자 APT41이 코드 난독화 및 C++·Golang으로 작성된 여러 툴(예: OSSTUN이라는 C2 프레임워크) 개발을 지원받기 위해 제미니를 악용한 사례 - 이란의 MuddyWater 계열이 최종 과제나 사이버보안 기사 작성을 구실로 안전장치를 회피하며 파일 전송·원격 실행 지원용 맞춤형 악성코드 개발을 지원받기 위해 제미니를 악용한 사례 - 이란의 APT42가 싱크탱크 인물 사칭 피싱용 자료 작성, 문서·메시지 번역, 이스라엘 방위 관련 조사, 자연어 요청을 SQL 쿼리로 변환해 민감 데이터에서 인사이트를 얻는 ‘데이터 처리 에이전트’ 개발 등에 제미니를 악용한 사례 - 북한 연계 UNC1069(별칭 CryptoCore 또는 MASAN)가 암호화폐 절취용 코드 개발, 사회공학 미끼 제작, 소프트웨어 업데이트를 가장한 지시문으로 사용자 자격증명을 추출하는 사기성 지시문 작성 등에 제미니를 악용한 사례 - TraderTraitor가 코드 개발, 익스플로잇 연구 및 툴 개선을 위해 제미니를 악용한 사례   구글 위협 인텔리전스 그룹은 최근 UNC1069가 암호화폐 업계 관계자를 사칭하는 딥페이크 이미지와 영상 미끼를 사용하여 Zoom 소프트웨어 개발 키트(SDK)를 위장하여 피해자 시스템에 BIGMACHO라는 백도어를 유포하는 소셜 엔지니어링 캠페인을 진행하는 것을 목격했다고 밝혔다.    이 활동의 일부는 보안 회사가 최근 공개한 GhostCall 캠페인과 유사하다는 점에 주목할 필요가 있다.   구글은 위협 행위자들이 "AI를 예외적으로 사용하는 것에서 표준으로 사용하는 것으로 전환"하여 운영의 속도, 범위, 효과를 높이고, 이를 통해 대규모 공격을 감행할 것으로 예상한다고 밝혔다.   또한 보고서에서 "강력한 AI 모델의 접근성이 높아지고 이를 일상 업무에 통합하는 기업이 증가함에 따라 즉각적인 주입 공격에 최적의 조건이 조성되고 있습니다. 공격 주체들은 공격 기법을 빠르게 개선하고 있으며, 이러한 공격은 비용이 낮고 보상이 높기 때문에 매력적인 선택지가 되고 있습니다."라고 밝혔다.       출처 https://thehackernews.com/2025/11/google-uncovers-promptflux-malware-that.html