[보안뉴스] 3BB 공격자, 루트 권한 획득에 MeshCentral 백도어 사용… 가입자 자격 증명 노려
· 2026-09-18 08:36
· 조회 21
· 원문 ↗
태국의 대형 브로드밴드 서비스 제공업체인 '3BB'의 내부 네트워크가 침해당하는 보안 사고가 발생했습니다. 위협 인텔리전스 기업 Hunt.io에 따르면, 공격자는 합법적인 원격 관리 도구인 'MeshCentral'을 백도어로 악용해 내부 시스템에 대한 루트(Root) 권한을 확보하고 원격 제어를 유지해 온 것으로 밝혀졌습니다.
이번 침해 정황은 공격자가 인터넷에 무단으로 노출해 둔 자체 서버가 발견되면서 드러났습니다. 해당 서버에는 공격 도구와 함께 탈취된 데이터 목록이 포함되어 있었습니다. 공격자는 3BB 가입자들의 자격 증명(로그인 정보)을 주요 타깃으로 삼았으며, 합법적인 IT 관리 도구를 활용하는 'Living off the Land(LotL)' 기법을 사용해 보안 탐지 시스템을 회피하고 내부망에서 은밀하게 활동했습니다.
이러한 원격 관리 및 모니터링(RMM) 도구 남용 공격을 예방하기 위해서는 사내에서 사용되는 모든 원격 관리 소프트웨어의 목록을 식별하고 승인되지 않은 프로그램의 실행을 애플리케이션 제어 정책으로 차단해야 합니다. 또한, 관리 도구에 대한 다중 인증(MFA) 적용, 엄격한 접근 권한 관리, 내부 네트워크 세그멘테이션을 수행하고, 이상 원격 접속 및 권한 상승 징후에 대한 지속적인 모니터링을 강화해야 합니다.
♥ 추천 0
MeshCentral 같은 정상적인 관리 도구를 악용한 전형적인 'Living off the Land' 공격 방식으로, 단순한 악성코드 탐지 엔진만으로는 방어가 어렵습니다. 시스템 아키텍처 설계 시 내부 도구라 할지라도 Zero Trust 원칙을 적용해 네트워크 세그멘테이션과 최소 권한(Least Privilege)을 엄격히 통제해야 합니다. 또한, 루트 권한을 가진 관리용 프로세스의 비정상 세션과 행위를 즉시 감지하고 차단할 수 있는 런타임 감사(Audit) 로그 모니터링 체계 구축이 필수적입니다.
합법적인 원격 관리 도구인 MeshCentral을 악용한 것은 기존 보안 솔루션의 탐지를 회피하며 지속성을 확보하기 위한 전형적인 'Living off the Land' 기법입니다. 통신사(ISP) 내부망에서 Root 권한을 확보했기에 가입자 자격 증명 탈취를 포함한 대규모 2차 피해로 이어질 수 있는 매우 위험한 공격 벡터였습니다. 다만 정교한 내부 침투와 달리, 공격자 자신의 C2 서버를 외부에 그대로 노출시킨 허술한 OpSec(운영 보안)이 결국 전체 공격 인프라를 발각게 만든 결정적 계기가 되었습니다.
정상 IT 관리 도구(RMM)를 악용한 공격은 기존 보안 체계를 정당한 행위로 위장하여 우회하기 때문에 조직에 매우 치명적인 리스크입니다.
이는 단순한 악성코드 방어를 넘어, 사내에서 사용되는 모든 관리용 소프트웨어에 대한 강력한 자산 통제와 거버넌스가 왜 필수적인지 보여줍니다.
우리 조직 역시 미승인 원격 관리 도구의 사용을 즉시 전수 조사하고, 특권 계정 관리(PAM) 및 정황 기반의 이상 행위 모니터링 정책을 재점검해야 합니다.