Google 등, 안드로이드 기기 130만 대 묶은 XCPE 봇넷 통제망 차단
Google과 보안업체들이 일본 경찰청과 협력해 XCPE 백도어로 안드로이드 기기 130만 대 이상을 묶은 봇넷의 통제 인프라를 차단했습니다. 감염 기기는 가정 인터넷을 프록시로 제공하고 광고 사기에 동원됐습니다. 통제 서버는 끊겼지만 펌웨어에 선탑재된 백도어는 기기에 남았습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
구글, XCPE 봇넷 운영 교란…Videostrong의 인증 Android 기기 제조·판매 금지
구글 위협 인텔리전스 그룹은 구글과 업계 파트너들이 셋톱박스 130만 대 이상을 감염시킨 XCPE 봇넷의 운영을 교란했다고 밝혔습니다. GTIG는 Videostrong이 감염 기기 접근권을 범죄 계열사에 판매했다고 판단했으며, 구글은 Videostrong과 앞으로 설립될 자회사·계열사가 인증 Android 기기를 제조·판매하거나 인증 업체에 소프트웨어를 공급하지 못하게 했습니다. 제휴사 악성코드의 C2 도메인 차단으로 XCPE와 별개인 감염 기기 최소 1,000만 대에서 운영자 접근이 끊길 것으로 GTIG는 추산했습니다.
성인 동영상 페이지의 정보 탈취 코드 분석, 실제 유출·자산 이전은 미확인
disconinja의 11월 3일 분석은 성인 동영상 사이트 HTML이 숨은 iframe과 JavaScript를 불러와 쿠키·저장소·입력값과 브라우저에 공개된 지갑 정보를 수집하려는 구조를 확인했습니다. 가짜 MetaMask와 송금 요청 코드도 있었지만 구현 결함이 발견됐고, 관측된 HTTP 요청만으로 실제 정보 유출이나 암호화폐 이전을 입증하지 못했습니다.
콜스토, 항공기 도플러 곡선으로 녹음 위치 100m 안팎까지 추정
유튜브 계정 colsto는 항공기 통과 때 남는 도플러 곡선을 ADS-B 비행 기록과 대조해 녹음 위치를 좁히는 시연을 공개했습니다. 제작자는 참조 녹음 위치를 약 100m 이내로 추정했고, 별도의 1분 녹음 시험에서는 실제 위치가 미국 전역 검색의 첫 후보에 올랐다고 설명했습니다. 영상 설명에 따르면 코드와 실행 도구는 공개하지 않았습니다.
Rasmus Moorats, SD카드에 묶인 르노 내비 시계 설정을 루트 권한으로 변경
보안 기술자 Rasmus Moorats는 자신의 2014년 르노 라티튜드에서 지도 SD카드가 없어 막힌 Carminat LIVE 시계 설정을 우회했습니다. 부팅 스크립트의 파일 쓰기·실행 기능을 코어 덤프 처리 경로와 조합해 루트 권한을 얻고, GPS 시간 오프셋을 180분에서 120분으로 바꿨습니다.
Ubuntu 24.04의 kill, 음수 프로세스 그룹 ID를 -1로 오독
Alan은 2026년 9월 24일 Endcrawl 테스트 렌더를 중단하려고 Ubuntu 24.04에서 음수 프로세스 그룹 ID를 전달했다가 모든 서비스를 중단했다고 기록했습니다. procps 4.0.4가 여러 자리 그룹 ID를 `-1`로 잘못 읽은 결과입니다. `--`로 음수 값을 대상 인수로 분리할 수 있으며, 24.04용 백포트 제안은 10월 21일 기준 보완 요청 상태였습니다.
Crissy Field 조사, Lovable 사이트 7,403곳서 무로그인 이메일 포함 기록 확인
Crissy Field GmbH는 Common Crawl에서 찾은 Lovable 프로젝트 159,041개를 조사해, 처음 로딩 때 Supabase 데이터를 보낸 24,664개 사이트 중 7,403곳에서 로그인 없이 이메일 주소가 포함된 데이터베이스 기록을 확인했다고 밝혔습니다. 이 30%는 조사한 사이트 안에서 해당 기록을 찾은 비율이며, 이메일 주소만으로 개인정보 여부를 확정할 수 없고 표본도 전체 앱을 대표하지 않습니다. 보고서는 프로필과 대화, 여권 정보가 담긴 노출 사례도 공개했습니다.
Censys, 벨기에에서 인터넷 노출 Danfoss 냉동 제어기 호스트 138개 집계
Censys ARC는 전 세계에서 인터넷에 노출된 Danfoss StoreView 호스트를 1,000개 넘게 관측했으며, 벨기에에서는 138개를 집계했습니다. Censys가 패치 버전으로 분류한 4.3.1 이상은 벨기에 호스트의 68%였습니다. 수치는 피해 점포 수가 아니라 공개 인터넷에서 관측한 호스트 수이며, 펌웨어 버전은 HTTP 헤더를 바탕으로 분류했습니다.
GitHub Actions workflow lockfile 정식 제공, 태그 참조는 고정 커밋으로 실행
GitHub는 2026년 10월 28일 GitHub Actions workflow lockfile을 공개 프리뷰에서 일반 제공으로 전환했습니다. 워크플로에는 읽기 쉬운 태그나 브랜치 참조를 두고 actions.lock에 액션과 전이 의존성의 커밋을 기록해 해당 코드를 실행하며, Dependabot은 등록된 워크플로의 잠금 항목도 같은 PR에서 갱신합니다. 재사용 워크플로 호출과 러너 이미지, 입력값, 시크릿은 잠금 범위에서 제외됩니다.
Dream Research 보고서: PHP2Shell로 PAN-OS 방화벽 24대 루트 침해, 22대에 웹셸 잔류
Dream Research는 PHP2Shell과 리눅스 커널 권한 상승 취약점을 연결해 PAN-OS 방화벽 24대와 내부 관리 서버를 침해한 공격을 보고했습니다. 내부 관리 서버에서 LDAP 서비스 계정 암호를 복호화해 Active Directory를 열람했으며, 10월 29일 보고서 갱신 당시 방화벽 22대에 웹셸이 남아 있고 내부 터널도 계속 작동할 가능성이 있다고 판단했습니다.
Numbat 정규화·합성곱 텐서 633개, 이름 기반 난수로 재현
Aditya Wakharkar의 독립 분석은 Numbat 체크포인트에서 정규화·합성곱 텐서 633개, 11,374,080개 값을 이름 기반 난수 생성기로 비트 단위 재현했다고 보고했습니다. 전문가 행렬의 양자화 코드에서도 높은 일치를 확인했지만, 시험 범위는 체크포인트 일부이며 보고서 안에서 0.0027% 집계의 표현도 일치하지 않습니다. 결과는 특정 가중치 계열의 생성 방식을 뒷받침할 뿐 전체 체크포인트의 출처나 Anthropic과의 관계를 입증하지 않습니다.
Excelize 2.11.1, 스프레드시트 처리 보안 결함 16건 수정
Excelize 2.11.1은 스프레드시트 파일을 읽고 수식을 계산하는 과정의 보안 수정 16건을 포함합니다. 공개 보안 권고 한 건은 조작된 XLSX의 음수 공유 문자열 인덱스가 일부 대용량 읽기 경로에서 패닉을 일으킬 수 있다고 설명하며, 영향 범위를 2.6.0~2.11.0으로 지정했습니다. 새 버전은 Go 1.26.0 이상이 필요합니다.
러시아·우크라이나 경보 앱 해킹돼 허위 핵공격 알림 게시
러시아와 우크라이나의 경보 앱에 허위 핵공격 관련 메시지가 올라왔습니다. 우크라이나 공군은 방사능 위협이 없다고 밝혔고, 두 앱의 운영 당국은 단계적 복구와 보안 조치, 취약점 파악에 나섰습니다. CNN은 두 침입의 연관성이 분명하지 않다고 전했습니다.
러시아 통계청, 10월 29~31일 공격 인정…해커는 23TB 탈취 주장
러시아 연방통계청은 10월 29~31일 조율된 사이버 공격을 받았다고 인정했지만 대규모 데이터 유출은 부인했습니다. 사이버파르티잔과 사일런트 크로우는 23TB를 탈취했다고 주장하며 러시아군 전사자 수치가 담겼다는 도표를 공개했지만, 그 수치는 해커 측 주장입니다.
벨기에와 스웨덴 슈퍼마켓 냉동 설비 공격, 해동 모드 원격 조작
프랑스에 이어 벨기에와 스웨덴의 슈퍼마켓 냉동 설비에서도 원격 공격이 발생해 일부 냉동고 온도가 50°C까지 올랐다고 Tom's Hardware가 보도했습니다. 공격자는 내장 해동 모드의 온도와 작동 시간을 바꿨으며, 보도 업데이트에는 아일랜드와 에스토니아, 네덜란드의 추가 피해 보고도 포함됐습니다.
환경 변수 사고는 워크스페이스·조직, 악성 패키지는 실행 호스트가 대응 기준
Railway는 복호화된 변수를 특정하지 못해 최대 1.85%의 워크스페이스를 잠재적 영향 범위로 제시하고 폭넓은 교체를 권고했습니다. Trigger.dev는 일부 조직의 환경 변수 무단 접근을 확인해 영향 계정 소유자에게 안내했습니다. LiteLLM은 악성 버전과 배포 시간, 이를 실행한 호스트를 대응 기준으로 삼았습니다.
AlmaLinux, CVE-2026-98432 수정 커널을 테스트 저장소에 공개
AlmaLinux가 CVE-2026-98432 수정 커널을 8·9·10 테스트 저장소에 올리고 커뮤니티 검증을 요청했습니다. 수정 커널을 설치한 뒤 재부팅하기 전에는 IPv4 옵션이 붙은 수신 TCP 패킷을 nftables로 임시 차단할 수 있습니다. 이 규칙은 재부팅 후 사라지며 CIPSO/NetLabel 환경에는 맞지 않습니다.
C++ 임시 문자열 수명 오류, 최적화 뒤 권한 판정 결과 뒤집혀
Ted Kim의 C++ 예제는 임시 `std::string`의 데이터를 가리키는 `std::string_view`를 원본이 사라진 뒤 비교해 미정의 동작을 일으킵니다. 작성자의 Clang 19·GCC 14 실행에서는 `-O0`의 `false`가 `-O2`에서 `true`로 바뀌며, 글은 이를 실제 서비스 사례가 아닌 재현용 코드로 다룹니다.
Trigger.dev, 일부 고객 조직 환경 변수 무단 접근 사고 공개
Trigger.dev는 공격자가 일부 고객 조직의 환경 변수에 무단 접근했다고 밝혔습니다. 회사는 익스플로잇을 차단하고 영향받은 계정 소유자에게 완화 절차를 이메일로 안내했으며, 상태 페이지는 API 사고를 2026년 11월 2일 오전 7시 50분(KST) 해결로 표시했습니다.
Anthropic 'Numbat' 유출 주장, 가중치 43개가 이름 기반 난수와 일치
Anthropic의 Mythos급 학습 체크포인트를 유출했다는 Hugging Face 저장소에서 가중치 43개가 이름 기반 난수 생성 절차와 바이트 단위로 일치한다는 분석이 나왔습니다. 분석자는 읽기 전에 값을 예측한 21개 텐서도 맞췄다고 밝혔습니다. 검사는 전체 저장소의 일부에 그치지만 실제 Anthropic 학습 산출물이라는 주장을 크게 약화합니다.