러시아어를 쓰는 오로라 랜섬웨어 조직이 커서의 코딩 에이전트를 침투 계획과 실행에 활용한 정황을 보안업체 두 곳이 확인했다. 클라우드섹과 갬빗 시큐리티가 현지 시각 8월 27일 각각 보고서를 공개했고, 더해커뉴스가 8월 31일 이를 종합해 보도했다.

클라우드섹은 공격자가 실수로 노출한 디렉터리에서 2026년 4월부터 7월까지의 활동 기록을 확보했다. 9개국 20곳 이상이 침해됐고, 이 가운데 17곳에서는 도메인 수준 접근이나 대화형 접근이 확보된 것으로 집계됐다. 4곳은 유출 사이트에 게시됐다. 피해 기업은 미국에 가장 많았다.

갬빗 시큐리티는 커서 에이전트가 실제로 사용된 기간을 4월 8일부터 5월 21일까지로 좁혔고, 이 기간 표적은 10곳이었다. 사용된 모델은 앤트로픽 클로드 소넷 계열로 확인됐다. 두 보고서는 조사 범위가 서로 달라 피해 규모를 그대로 더할 수 없다.

에얄 셀라 갬빗 시큐리티 연구원에 따르면 에이전트에는 이미 확보한 자격증명이나 침투 경로가 주어진 상태였다. 공격자가 목표만 제시하거나 쓸 도구를 지정한 경우가 많았고, 에이전트가 제시한 선택지에 번호로만 답한 기록도 있었다.

명령 대부분은 첫 시도에서 목표를 달성하지 못했다. 반복해서 고쳐 가며 실행한 끝에 일부만 성공했다는 것이 갬빗 시큐리티의 분석이다.

표적 목록과 스캔 기록에는 독립국가연합(CIS) 소속 국가의 IP 대역과 도메인이 들어 있지 않았다. 계획 문서는 전부 러시아어로 작성됐다.

암호화 도구는 프로그래밍 언어 Zig로 작성됐고, 윈도우용과 리눅스·ESXi용이 하나의 코드베이스에서 만들어진 것으로 분석됐다. 몸값 분배 비율은 건마다 달라 35 대 65, 21 대 79, 46 대 54, 40 대 60으로 집계됐다.

로이터는 8월 27일 피해 기업으로 크리스테인스와 테켄트룹, 헬리덱 인증기관, 바이유 타이틀 등을 확인했다.

자세한 내용은 더해커뉴스에서 확인할 수 있다.

이미지 출처: AI 생성