[해외보안뉴스] Citrix NetScaler 취약점 악용 공격 포착: 최고 권한 계정 생성 및 CSS 위장 웹셸 유포
· 2026-10-01 05:00
· 조회 23
· 원문 ↗
Citrix NetScaler ADC 및 NetScaler Gateway 장비에서 인증 전 명령 삽입(Pre-authentication Command Injection) 치명적 취약점을 악용한 실전 공격 활동이 포착되었습니다. 보안 전문 업체 LevelBlue의 THOR(Threat Hunt Operations & Research) 연구진은 여러 고객 환경의 침해 사고를 분석한 결과, 공격자들이 해당 취약점을 통해 초기 침투를 성공시킨 뒤 다양한 악성 행위를 수행하고 있음을 확인했다고 밝혔다.
공격자들은 취약점을 통해 시스템에 침투한 후, 침해 상태를 유지하고 제어권을 강화하기 위한 후속 공격(Post-Exploitation)을 전개하고 있습니다. 특히 관리자 몰래 최고 권한(Superuser) 계정을 생성하여 지속적인 액세스 통로를 확보했으며, 시스템 내부의 주요 설정 데이터를 탈취하려고 시도했습니다. 또한, 보안 탐지를 회피하기 위해 웹셸을 일반적인 CSS 파일 경로 형태의 URL로 매핑하는 고도의 위장 기법을 사용한 것으로 나타났습니다.
이번 공격은 Citrix NetScaler 제품군을 운용하는 모든 기업 및 기관을 대상으로 큰 보안 위협이 되고 있습니다. 권한이 없는 공격자가 외부에서 정당한 인증 없이 최고 권한을 획득할 수 있어, 네트워크 내부로의 횡적 이동(Lateral Movement) 및 정보 유출 피해로 이어질 가능성이 매우 높습니다.
따라서 Citrix NetScaler 제품을 사용하는 조직은 보안 권고안을 확인하여 즉시 최신 보안 패치를 적용해야 합니다. 아울러 관리자는 장비 내에 원인 불명의 최고 권한 계정이 신규 생성되었는지 점검하고, CSS 등 정적 리소스 URL로 요청되는 비정상적인 웹 트래픽 및 파일 시스템 변경 이력을 전수 조사하는 등 적극적인 위협 헌팅 조치를 취해야 합니다.
인증 전 단계의 커맨드 인젝션 자체도 치명적이지만, 웹쉘을 정적 리소스(CSS) 경로로 위장 매핑하여 L7 탐지 패턴을 우회한 기법이 매우 정교합니다.
개발 관점에서는 라우팅 레이어에서 정적 파일 디렉토리의 동적 파싱/실행 권한을 철저히 차단하고 입력 파라미터 검증을 강화해야 합니다.
또한, 웹 프로세스의 침해가 OS 레벨의 슈퍼유저 생성으로 이어지지 않도록 컨테이너 기반 샌드박싱과 최소 권한 원칙(Least Privilege)을 아키텍처 단계에서 강제하는 것이 시급합니다.
Pre-auth 조건의 명령어 주입은 별도의 자격 증명 없이도 네트워크 경계 장비를 즉시 장악할 수 있어 침투 테스트 시 가장 선호되는 강력한 초기 침투 벡터입니다. 특히 웹쉘을 정상적인 CSS URL처럼 위장하는 기법은 보안 솔루션의 트래픽 탐지를 우회하여 은밀하게 지속성(Persistence)을 유지하기에 매우 위협적입니다. 여기에 슈퍼유저 권한 획득과 설정 파일 탈취까지 연계되면, 이는 단순 단말 침해를 넘어 내부 네트워크 전체를 장악하는 횡적 이동(Lateral Movement)의 확실한 교두보가 됩니다.
외부 경계 장비(ADC/Gateway)의 사전 인증 취약점은 조직 전체의 보안 경계를 즉시 무력화할 수 있어 거버넌스 관원에서 가장 경계해야 할 핵심 리스크입니다.
보안팀은 즉각적인 패치 적용과 더불어 위장된 웹쉘이나 권한 남용 흔적이 있는지 내부 자산에 대한 긴급 위협 헌팅(Threat Hunting)을 수행해야 합니다.
이번 사례를 계기로 외부 노출 자산에 대한 세밀한 모니터링 정책을 재정비하고, 경계 기반 보안을 넘어선 제로 트러스트 통제 체계를 조속히 강화하겠습니다.