뉴스 기사 스크랩(1)
더보기
https://thehackernews.com/2026/01/certcc-warns-binary-parser-bug-allows.html
https://thehackernews.com/2026/01/threatsday-bulletin-pixel-zero-click.html
바이브 코딩으로 만든 노션 정리글들을 보면서 요약본을 먼저 읽어보고 내가 흥미있어보이는 것들이면 영어 전문을 보는 형식으로 진행했다. 그러던 중, 위의 링크들을 다 보면 약간 새로운 CVE 발견! OR 취약점 발견 같은 것들이 아니라 그냥 악성 프로그램을 이용해서 크롬 extension, Vs code 패키지, 아니면 악성 라이브러리 등등을 이용한 기사들이였다.
아직 저런 기사를 접해보지 않은 사람은 솔직히 라이브러리나 Vs code, 크롬 Extension 처럼 당연히 안전한 곳이라고 인식되어 있는 곳에 올라와있고 사람들이 많이 사용하니까 괜찮겠지하며 그냥 다운로드 받거나, 아니면 ChatGPT나 Gemini가 이거 사용해도 괜찮아요! 라고 하며 사용할 수도 있는 것이다.
물론 나도 아직 저런 기능들에 대해서 많이 생각하면서 다운로드를 받는 것은 아니지만, 크로스체크는 하고 사용해야겠다.
근데 그러면, 저런 것들을 막는 툴들이 존재하지 않는 것인가??
크롬 extension
Guardio라는 앱이 있다. 간단하게 브라우징 중 위협 사이트/다운로드 실시간 경고 및 차단을 해주거나 피싱 탐지 및 실시간 알림, 개인정보 유출 발생 시 즉시 알림이 가능하다.
일단 Guardio는 동적 fingerprinting 규칙과 고급 heuristics, 머신러닝 등을 사용한다고 설명한다. 사기/피싱 패턴과 브라우저 권한 오남용, 의심스러운 랜딩 페이지 등이 명시된다. 또한 악성 브러웆 확장 프로그램에 대해서는 설치 시도 시점에 경고하며, 이미 설치된 것도 무력화할 수 있다고 한다.
Vs code extension
딱히 뭔가 확실하게 막는 방법이 없다..
그리고 위에 있는 기사들에 대해서 사람들이 이런 저런 보안 툴들을 다운받는다고 해서 확실하게 막을 수 있을까? 에 대해서는 많은 의문점이 들긴한다. -> 이유는 "귀찮아서".
보안을 하는 나도 가끔은 귀찮아서 대충 권한을 줘놓고 대충 프로그램들을 다 믿고 실행 권한을 줘버린다. 보안 프로그램이 뜨는 알림들은 오탐이겠지 하며 넘긴다.
점점 사람들을 속이는 기법들은 정교해지고 있으며 사람들은 여러 프로그램과 툴들을 믿으며 보안은 소홀해 지기 마련이다..
추후 work.
Vs code Extension에 대해서 보안하는 툴들에 대해서 조금 더 알아보기.
각 기사들의 간단 요약
- CERT/CC, 'binary-parser' 라이브러리 치명적 버그 경고
- 널리 사용되는 npm 라이브러리인 binary-parser에서 치명적인 보안 취약점(CVE-2026-1245)이 발견되었습니다. 이 버그는 입력값 검증 부재로 인해 공격자가 원격으로 악성 자바스크립트 코드를 실행(RCE)할 수 있게 하며, Node.js 기반 애플리케이션들이 위험에 노출되었습니다. (버전 2.3.0에서 패치됨)
- 가짜 LastPass '백업 알림' 이메일 피싱 주의
- LastPass 사용자를 대상으로 한 정교한 피싱 캠페인이 발견되었습니다. 공격자들은 "인프라 유지보수 중이니 24시간 내에 볼트(Vault)를 백업하라"는 가짜 이메일을 보내, 사용자가 가짜 사이트(mail-lastpass[.]com 등)에 로그인하여 마스터 비밀번호를 입력하도록 유도합니다.
- 기업 인사(HR) 플랫폼을 노리는 악성 크롬 확장프로그램
- Workday, NetSuite, SAP SuccessFactors와 같은 기업용 HR 및 ERP 플랫폼을 표적으로 삼는 5개의 악성 크롬 확장프로그램이 발견되었습니다. 이들은 생산성 도구로 위장해 설치된 후, 로그인 세션 쿠키를 탈취하거나 관리자가 보안 설정을 변경하지 못하도록 관리 페이지 접근을 차단하는 기능을 수행했습니다.
- 84만 명이 설치한 'GhostPoster' 악성 확장프로그램 발견
- 'Google Translate', 'AdBlock' 등으로 위장한 17개의 악성 브라우저 확장프로그램(총 84만 건 설치)이 발견되었습니다. 'GhostPoster'라 불리는 이 캠페인은 확장프로그램의 로고 이미지 파일 속에 악성 코드를 숨기는 스테가노그래피 기법을 사용하며, 사용자의 브라우징을 추적하거나 제휴 마케팅 수익을 가로채는 광고 사기를 벌입니다.
- 마이크로소프트 팀즈(Teams), 브랜드 사칭 경고 기능 추가
- 마이크로소프트는 팀즈 통화 중 외부 발신자가 신뢰할 수 있는 기업이나 브랜드를 사칭할 경우 사용자에게 경고를 표시하는 '브랜드 사칭 보호(Brand Impersonation Protection)' 기능을 도입합니다. 이는 보이스피싱 및 사회 공학적 공격을 방지하기 위함입니다.
- Threatsday 게시판: 구글 픽셀(Pixel) 제로클릭 취약점 공개
- 구글 픽셀 폰에서 사용자의 상호작용 없이도(Zero-click) 해킹이 가능한 취약점 체인이 공개되었습니다. 구글 메시지 앱이 오디오 첨부파일을 자동으로 처리하는 과정에서 'Dolby 오디오 디코더'의 취약점(CVE-2025-54957)을 이용해 코드를 실행하고, 드라이버 버그를 통해 권한을 탈취하는 방식입니다. (2026년 1월 패치 완료)