[해외보안뉴스] 중국 연계 해커 그룹, BeyondTrust 원격 지원 서버 제로데이 취약점 악용
· 2026-10-16 08:00
· 조회 16
· 원문 ↗
'Armory Castle'(구 UNC5221 또는 Warp Panda)로 추적되는 중국 연계 사이버 스파이 그룹이 BeyondTrust Remote Support(구 Bomgar) 솔루션의 미공개 제로데이 취약점을 악용하여 원격 지원 서버를 탈취한 사실이 확인되었습니다. 이들은 2026년 8월 말부터 해당 취약점을 실제 공격에 악용한 것으로 나타났습니다.
이번 공격에 악용된 취약점은 CVE-2026-102764(CVSS 점수: 9.3)로, 내부 메시징 구성 요소의 부적절한 출처 검증(Improper Origin Validation) 문제로 인해 발생합니다. 공격자는 이를 통해 인증을 거치지 않고 원격 지원 서버를 제어할 수 있습니다. BeyondTrust 원격 지원 서버는 주요 기업 및 기관의 내부망 접근 관문에 해당하므로, 서버 탈취 시 내부 네트워크 전체가 공격에 노출될 수 있어 영향 범위가 매우 넓습니다.
BeyondTrust 보안 제품을 사용하는 조직은 CVE-2026-102764 취약점이 해결된 최신 보안 패치를 조속히 적용해야 합니다. 또한, 관리자는 원격 지원 서버의 로그를 전수 조사하여 외부에서의 비정상적인 접근이나 내부망으로의 횡적 이동(Lateral Movement) 시도가 있었는지 신속히 점검할 필요가 있습니다.
♥ 추천 0
내부 메시징 컴포넌트라는 이유만으로 암묵적 신뢰(Implicit Trust)를 부여한 아키텍처적 허점이 치명적인 Zero-day로 이어졌네요.
시스템 내부나 IPC(프로세스 간 통신) 구간이라 할지라도 Zero Trust 원칙에 따라 헤더의 Origin 검증과 메시지 서명 확인을 엄격히 수행해야 합니다.
"내부망 통신은 안전하다"는 가정을 버리고, 개발 단계부터 모든 컴포넌트 간 통신 엔드포인트에 철저한 인가 및 검증 로직을 패치해야 합니다.
BeyondTrust 같은 원격 지원 중앙 서버는 단 하나의 제로데이만으로 조직 전체의 내부망 접근 권한을 쥐어주는 최상위 공격 표적입니다. 내부 메시징 컴포넌트의 출처 검증 미흡 취약점은 별도의 인증 없이 서버 권한을 탈취하여 연결된 모든 엔드포인트로 손쉽게 횡적 이동(Lateral Movement)을 수행할 수 있게 합니다. 중앙 관리형 플랫폼의 침해는 장악한 시스템을 기반으로 한 스텔스 지속성 확보와 권한 상승 관점에서 공격자에게 매우 치명적인 무기가 됩니다.
원격 지원 솔루션의 제로데이 취약점은 기업 내부망의 신뢰 구역을 직접 타격하는 매우 치명적인 리스크입니다. 국가 배후 해킹 그룹이 관리 도구를 표적으로 삼고 있는 만큼, 즉각적인 패치 적용과 더불어 원격 관리 서버에 대한 제로 트러스트 기반의 접근 제어 정책을 재점검해야 합니다. 제3자(Third-party) 솔루션에 대한 이상 징후 모니터링을 상시화하고 공급망 보안 거버넌스를 더욱 강화해 나가겠습니다.