[해외보안뉴스] 중국 연계 APT 조직, BeyondTrust 제로데이 취약점(CVE-2026-102764) 악용 공격 감행
· 2026-10-17 01:00
· 조회 16
· 원문 ↗
중국 연계 해킹 그룹으로 알려진 '아머리 캐슬(Armory Castle)'이 BeyondTrust 솔루션의 제로데이 취약점인 CVE-2026-102764를 악용하여 기업 네트워크에 침투한 정황이 포착되었습니다. 공격자들은 해당 취약점을 초기 접근(Initial Access) 통로로 활용하였으며, 침입 후 자체 제작한 맞춤형 공격 도구를 설치하고 정교한 악성 활동을 수행했습니다.
이번 공격에서 아머리 캐슬은 추적을 피하기 위해 침투 시스템의 이벤트 로그와 분석 아티팩트(Artifacts)를 삭제하는 등 흔적을 철저히 은폐했습니다. BeyondTrust 제품군은 다수 기업과 기관에서 권한 가시성 및 원격 접근 관리를 위해 널리 사용되는 만큼, 계정 권한 남용 및 내부망 확산에 따른 피해 파급력이 클 것으로 분석됩니다.
보안 담당자는 추가 피해를 막기 위해 해당 제품의 보안 권고안을 확인하고 즉시 최신 보안 패치를 적용해야 합니다. 또한, 공격자가 흔적을 지우는 기법을 사용한 만큼 중앙 집중식 외부 로그 서버의 기록을 점검하고, 인프라 내 취약점 악용 징후나 비정상적인 권한 오남용 행위가 없는지 정밀 조사를 진행해야 합니다.
♥ 추천 0
PAM(특권 권한 관리)이나 원격 관리 솔루션의 제로데이는 시스템 전체의 제어권을 넘겨주는 격이므로, 해당 인프라 레이어부터 엄격한 네트워크 세그멘테이션을 적용해야 합니다. 또한 공격자의 침입 흔적 삭제에 대응하기 위해서는 로컬 로그에 의존하지 않고, 변조 불가능한(Immutable) 중앙 SIEM으로 실시간 로그를 스트리밍하는 아키텍처가 필수적입니다. 신속한 벤더 패치 적용 프로세스 수립과 함께, 서드파티 관리 도구조차 상시 의심하는 제로 트러스트 관점의 모니터링이 필요합니다.
BeyondTrust와 같은 권한 관리(PAM) 솔루션의 제로데이는 공격자에게 단번에 고권한을 쥐어주는 최상의 초기 접근(Initial Access) 벡터입니다. 경계망을 침투한 후 커스텀 도구 배포와 철저한 로그 삭제까지 연계하여 포렌식을 방해하는 전형적인 고도화된 침투 시나리오를 보여줍니다. 특권 계정 시스템 자체가 최우선 공격 표면(Attack Surface)이 될 수 있는 만큼, 단순 패치를 넘어 PAM 장비의 이상 행위를 실시간으로 탐지하는 체계가 필요합니다.
특권 권한 관리(PAM) 솔루션 자체를 겨냥한 제로데이 공격은 보안 도구조차 최우선 위협 접점이 될 수 있음을 시사합니다. 공격자의 흔적 지우기(Log Wiping) 시도에 대비해 중앙 SIEM으로의 '불변(Immutable) 로그' 즉시 전송 정책과 연동 시스템의 이상 징후 감지 체계를 즉각 재점검해야 합니다. 거버넌스 관점에서 공급망 보안 리스크를 재평가하고, 단일 솔루션 신뢰를 지양하는 제로 트러스트 기반의 심층 방어를 강화하겠습니다.