[해외보안뉴스] 벨라루스 연계 해커 조직, VMware Tools에 'Vasilek' 백도어 숨겨 러시아 의료 기관 2년간 침투
· 2026-10-21 22:00
· 조회 8
· 원문 ↗
벨라루스 연계 해킹 그룹인 'Partisan Zmiy'(Cyber Partisans로도 알려짐)가 러시아의 한 의료 기관 네트워크에 침투하여 약 2년 동안 은밀하게 활동해 온 사실이 러시아 보안 기업 솔라(Solar)의 보고서를 통해 밝혀졌습니다. 공격자들은 장기간 탐지를 피하기 위해 정상적인 가상화 관리 소프트웨어인 VMware Tools 내부에 'Vasilek'이라 불리는 백도어를 위장하여 숨겨둔 것으로 확인되었습니다.
2020년부터 활동을 시작한 Partisan Zmiy 그룹은 주요 산업 및 기반 시설을 표적으로 삼는 해크티비스트 성향을 보이는 위협 주체입니다. 이들은 이번 공격에서 대상 시스템 내 VMware Tools 라이브러리 및 실행 파일의 무결성을 훼손하고 악성 백도어를 주입하는 방식을 사용했습니다. 이로 인해 의료 기관 내부 네트워크에 대한 지속적인 접근 권한을 확보하고, 은밀하게 시스템을 제어하며 기밀 데이터를 위협할 수 있는 광범위한 영향력을 행사했습니다.
이와 같은 시스템 파일 위장 기법에 대응하기 위해서는 가상화 소프트웨어 및 관련 컴포넌트의 무결성 검증을 정기적으로 실시해야 합니다. 보안 관리자는 VMware Tools를 비롯한 핵심 인프라 소프트웨어의 무단 파일 변경 여부를 모니터링하고, 최신 보안 패치를 지속적으로 적용해야 합니다. 아울러 EDR 및 XDR 솔루션을 도입하여 이상 프로세스 실행과 비정상적인 내부 네트워크 통신을 실시간으로 탐지·차단하는 보안 체계를 구축해야 합니다.
♥ 추천 0
VMware Tools 같은 인프라 에이전트가 2년 동안 백도어 은닉처로 악용된 점은 시스템 관리 도구에 대한 무조건적인 신뢰가 얼마나 위험한지 보여줍니다. 서드파티 유틸리티라 할지라도 바이너리 코드 서명 검증과 파일 무결성 감시(FIM)를 자동화하여 정기적으로 베이스라인 이탈 여부를 점검해야 합니다. 아키텍처 관점에서도 하이퍼바이저 관리 도구의 비정상적인 아웃바운드 통신을 격리하는 제로 트러스트 기반의 네트워크 제어가 반드시 병행되어야 합니다.
VMware Tools처럼 시스템 신뢰도가 높은 가상화 관리 도구를 공격 벡터로 삼아 백도어를 은닉한 매우 위협적인 지속성(Persistence) 확보 사례입니다. 정상 프로세스 및 공급망 영역으로 위장하여 EDR의 탐지를 유연하게 우회했기에 2년이라는 장기 침투가 가능했던 것으로 보입니다. 레드팀 관점에서도 가상화 레이어는 모니터링의 사각지대가 되기 쉬운 만큼, 해당 인프라 바이너리에 대한 엄격한 무결성 검증과 상시 행위 분석이 필수적입니다.
가상화 인프라의 필수 요소를 악용해 2년간 은닉했다는 사실은 내부 핵심 시스템에 대한 보안 가시성(Visibility) 확보가 얼마나 중요한지 다시금 일깨워줍니다. 이제는 단순 엔드포인트 단을 넘어 하이퍼바이저 및 시스템 관리 도구 수준까지 무결성 검증과 통제 정책을 강화해야 합니다. 핵심 IT 인프라 소프트웨어의 위변조 리스크를 상시 평가하고 모니터링하는 거버넌스 체계 재정비가 시급합니다.