[해외보안뉴스] 러시아 악명 높은 'Sandworm', 시스코 취약점 연계해 'Cyclops Blink' 봇넷 재유포
· 2026-09-21 00:00
· 조회 22
· 원문 ↗
러시아 정부의 지원을 받는 악명 높은 위협 그룹 '샌드웜(Sandworm)'이 시스코(Cisco) 네트워크 기기의 취약점들을 연계 공격하여 악성코드 '싸이클롭스 블링크(Cyclops Blink)'의 업그레이드 버전을 유포하고 있는 것으로 나타났습니다. Cyclops Blink는 2022년 미국 FBI와 국제 사법기관의 공조로 한 차례 인프라가 무력화되었던 봇넷 악성코드로, 샌드웜은 이를 더 정교하게 개선하여 다시 네트워크 장비 타깃 공격에 활용하고 있습니다.
공격자들은 보안 패치가 적용되지 않은 시스코 네트워크 장비의 여러 취약점을 조합(Chain)하여 초기 침투를 수행하고 높은 권한을 획득합니다. 권한을 얻은 후에는 기기의 펌웨어 수준에 상주하는 Cyclops Blink를 설치하여 시스템 재부팅 후에도 지속적인 제어권을 유지합니다. 패치되지 않은 시스코 라우터 및 방화벽 등을 사용하는 전 세계 주요 기업과 공공기관이 주요 영향 범위에 포함되며, 감염된 장비는 사이버 간첩 활동이나 추가적인 대규모 공격을 위한 봇넷 노드로 악용될 수 있습니다.
이러한 위협에 대응하기 위해 시스코 네트워크 장비를 운영 중인 조직은 최신 보안 패치를 조속히 적용하고, 관련 보안 권고안을 준수해야 합니다. 또한, 네트워크 장비의 승인되지 않은 펌웨어 변경 여부와 비정상적인 외각 통신 데이터를 주기적으로 모니터링하고, 인터넷에 직접 노출된 관리 인터페이스의 접근을 엄격히 제한하는 보안 조치가 필요합니다.
♥ 추천 0
단일 취약점이 아닌 복수의 취약점을 연쇄 활용(Vulnerability Chaining)해 엣지 장비를 점령하는 공격 기법이 더욱 정교해졌네요. 네트워크 장비 특성상 펌웨어 레벨에서 권한을 뺏기면 지속성(Persistence)을 확보당해 방어가 매우 어려워지므로, 최신 보안 패치 적용과 펌웨어 무결성 검증 프로세스가 최우선되어야 합니다. 궁극적으로는 경계 장비의 탈취를 전제로 두고 내부 시스템으로의 횡적 이동(Lateral Movement)을 차단하는 제로 트러스트 네트워크 아키텍처 재설계가 병행되어야 합니다.
Sandworm이 Cisco 네트워크 장비의 취약점들을 체이닝(Chaining)하여 공격에 활용한 점은 경계 장비가 여전히 공격자들에게 가장 매력적인 초기 침투 경로임을 보여줍니다. 단일 취약점 조치가 이루어졌더라도 복수 취약점의 조합을 통해 권한 승격 및 지속성(Persistence) 확보가 용이해지므로 실제 악용 가능성과 파급력이 매우 높습니다. 당국의 차단 조치 이후에도 변종을 통해 신속히 재출현한 만큼, 엣지(Edge) 디바이스에 대한 상시 취약점 관리와 패치가 시급합니다.
국가 지원 해킹 조직이 네트워크 장비의 다중 취약점을 연쇄 활용하는 공격은 조직의 경계(Perimeter) 보안에 심각한 리스크입니다.
과거 차단된 위협도 변종으로 재등장하는 만큼, 일회성 조치가 아닌 지속적인 위협 인텔리전스(CTI) 기반의 보안 정책 업데이트가 필수적입니다.
즉시 네트워크 인프라 자산의 취약점 패치 현황을 전수 점검하고, 경계 장비에 대한 제로 트러스트 관제의 모니터링 수준을 한층 강화하겠습니다.