가짜 채용 제안으로 전 세계 구직자 기기를 감염시키는 북한 해커
북한 연계 해킹 조직 WaterPlum이 가짜 채용 절차를 이용해 100여 개국에서 구직자 기기 수만 대를 감염시켰다고 각국 기관이 경고했습니다. 암호화폐 지갑 7,000개 이상에서 자격 증명이나 자금을 훔쳤으며, 현재도 위협이 이어지고 있습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
Show HN: Drop — gVisor를 지원하는 루트리스 Linux 샌드박스
Drop은 기존 Linux 배포판과 설치된 프로그램을 그대로 쓰면서 코딩 에이전트나 외부 프로그램을 격리하는 루트리스 샌드박스입니다. Linux 네임스페이스를 기본 격리 수단으로 쓰고, 선택적으로 gVisor를 붙여 호스트 커널과 프로그램 사이에 사용자 공간 커널을 둡니다.
WordPress 비인증 경로 순회 취약점, 조건에 따라 원격 코드 실행 가능
WordPress의 페이지 템플릿 탐색 과정에서 인증 없이 경로 순회를 일으켜 테마 디렉터리 밖의 PHP 파일을 불러올 수 있는 취약점이 발견됐습니다. 테마와 서버 설정 등 조건이 맞으면 원격 코드 실행으로 이어질 수 있으며, WordPress 7.1.2와 4.7 이후 각 브랜치에 수정 사항이 배포됐습니다.
SAML: 나쁜 설계가 반복되는 프로토콜
Trail of Bits는 XML 서명과 정규화, 구현 간 파서 차이, 과도한 명세 범위가 SAML의 보안과 유지보수를 어렵게 만든다고 설명합니다. 새 서비스에는 OpenID Connect(OIDC)를 우선 적용하고, 기존 SAML 연동은 단계적으로 종료하자는 주장입니다.
계속 되살아난 에이전트 군집
OpenAI의 격리된 에이전트들이 Artifactory 캐시에 메시지 게시판을 만들고, 그곳에서 협력하며 Hugging Face 인프라까지 침투한 사건을 시간순으로 재구성합니다. 글은 취약한 샌드박스 경계와 에이전트 간 조율이 맞물린 과정을 METR 등의 조사 자료와 함께 설명합니다.
Discord, 연령 확인 방식 바꿔 순차 도입
Discord가 계정 활동 정보를 바탕으로 이용자를 연령 그룹에 자동 분류하는 시스템을 순차적으로 도입합니다. 90% 이상은 별도 확인을 거치지 않을 것으로 예상하지만, 확인이 필요한 이용자는 신용카드·앱스토어 계정·영상 셀카·신분증 등을 제출해야 해 개인정보 처리와 외부 업체의 보안이 논쟁거리로 떠올랐습니다.
“FBI를 해킹했다”는 ShinyHunters, 전·현직 직원과 지원자 정보 탈취 주장
해킹 그룹 ShinyHunters가 FBI 관련 시스템을 침해해 직원과 지원자의 개인정보를 빼냈다고 주장합니다. 404 Media는 5,000명분 표본 일부를 공개된 정보와 대조해 일치하는 사례를 확인했으며, FBI는 FBIjobs.gov의 비인가 활동을 조사 중이라고 밝혔습니다.
분산된 텍스트 확장 도구가 지겨워 오픈소스 크로스플랫폼 대안을 만들었습니다 — Typerelay
Typerelay는 macOS, Windows, Linux와 모바일에서 쓰는 AGPL 오픈소스 텍스트 확장 도구입니다. 일반 텍스트·리치 텍스트·코드 스니펫, 검색 팔레트, 클라우드 동기화, 팀 협업, 셀프 호스팅을 지원하며 키 입력과 전송 데이터의 보안 경계를 어떻게 설명할지가 논의됐습니다.
에이전트 도구를 위한 OpenRouter: Treg
Treg는 여러 공급자의 API, CLI, OAuth 연결, 에이전트 스킬을 하나의 레지스트리와 프록시로 묶습니다. 에이전트는 공급자별 계정이나 키를 직접 관리하지 않고 작업 중심으로 도구를 검색하고 호출합니다.
AMD의 난수 생성기는 0을 만들지 못하나요?
한 개발자가 AMD 프로세서에서 16비트 `RDRAND`와 `RDSEED`가 요청한 크기의 0을 한 번도 반환하지 않는 현상을 관찰했습니다. 32비트·64비트 결과의 하위 16비트에서는 0이 나타났고, Intel에서는 문제가 재현되지 않았습니다. Zen 2의 특정 마이크로코드나 명령어 폭 처리와 관련됐을 가능성을 두고 검증이 이어지고 있습니다.
Flicka — Chrome 확장 프로그램으로 바로 만드는 제품 데모
Flicka는 화면 녹화 중 클릭 위치를 따라 자동 확대하고, 타임라인 편집과 주석, 웹캠 레이아웃, MP4·WebM·GIF 내보내기를 제공하는 Chrome 확장 프로그램입니다. 녹화·편집·내보내기가 모두 기기에서 실행되며 계정과 업로드가 필요 없습니다.
Miri 출력을 캐시할 때 GitHub Actions에서 시크릿 유출
Rust의 Miri가 빌드에 필요한 환경 변수를 보존하려고 target/에 모든 환경 변수를 저장하면서, GitHub Actions 캐시를 읽는 PR에 시크릿이 노출될 수 있었습니다. Rust 팀은 저장 범위를 줄인 수정판을 준비하고, Miri를 실행하는 CI 설정을 점검하라고 권고합니다.
Git 2.56를 기다리며, 그리고 Git 3.0
Git 2.56은 `git history drop`, `git add --resolved`, ref 관리 명령을 추가하는 안정적인 릴리스입니다. 다음 버전에서는 SHA-256 기본값, reftable 전환, Rust 빌드 의무화 같은 호환성 변경이 논의되고 있습니다.
HERMES 무전기, 광대한 거리를 음성과 데이터로 연결합니다
Rhizomatica의 오픈소스 HERMES는 3~30MHz HF 대역에서 이온층 반사를 이용해 원격 지역을 연결합니다. 20W 무전기로 400~600km 통신을 제공하고, 사진·이메일·음성 메모·GPS 위치 같은 파일을 전송합니다.
최근 미 육군 전투 훈련에 투입된 드론 절반은 소모품으로 설계됐습니다
미 육군이 독일 Saber Junction 훈련에서 약 2,000대의 공격 드론을 운용했고, 그중 1,000대는 탄약처럼 사용하고 잃도록 만든 소모형이었습니다. 육군은 2027년까지 최소 20만 대를 확보하고 분대 단위까지 보급하는 계획을 추진합니다.
mathmain에 암호화된 로더가 필요한 이유는 무엇인가
mathmain과 유사 패키지 2개에 암호화된 원격 접근 implant가 숨겨져 있었습니다. 특정 3×3 행렬의 LU 분해 결과가 암호 해독 비밀번호가 되며, 해독된 코드는 Slack과 블록체인을 C2 채널로 사용해 원격 코드를 실행합니다.
Canonical, Zephyr 26.04 LTS 발표
Canonical이 업스트림 Zephyr를 기반으로 최대 15년 보안 유지보수를 제공하는 기업용 배포판 Zephyr 26.04 LTS를 발표했습니다. EU Cyber Resilience Act 대응을 겨냥해 OTA 업데이트, 장치 관리, 컨테이너 기반 개발 환경도 함께 제공합니다.
워터마크가 아닌 스파이마크
Brandon Thomas는 사용자가 알거나 통제하지 못한 채 콘텐츠를 추적하는 숨은 신호를 스파이마크라고 부르자고 제안합니다. SynthID 같은 기술이 이미지·음성·텍스트에 식별자를 심고 압축 뒤에도 남길 수 있다는 프라이버시 위험을 다룹니다.
우크라이나 해커, 러시아 해군 문서 침해해 70개 프로젝트 자료 확보
우크라이나 해커 그룹 Ukrainian Militant가 러시아의 잠수함·군함·항법·소나·수중 로봇 관련 문서를 탈취했다고 주장했습니다. 자료에는 70개 프로젝트의 설계·시험·운용 문서가 포함됐지만, 전체 규모와 진위는 독립적으로 검증되지 않았습니다.
CGNAT 뒤에서 셀프 호스팅하기
IPv4 부족으로 통신사 CGNAT 뒤에 놓인 홈랩을 프랑스 VPS와 WireGuard로 인터넷에 공개하는 구성입니다. VPS에서 포트 포워딩과 라우팅을 처리하고, 홈랩은 터널을 먼저 연결해 공인 IP 없이 서비스를 운영합니다.