[해외보안뉴스] Realtek Jungle SDK 취약점 노린 'Cling' 봇넷 유포… STUN 기반 C2 채널 활용
· 2026-10-05 15:00
· 조회 9
· 원문 ↗
최근 공격자들이 이미 패치가 완료된 Realtek Jungle SDK(소프트웨어 개발 키트)의 치명적인 보안 취약점을 악용하여 'Cling'이라는 새로운 봇넷 악성코드를 유포하고 있는 정황이 포착되었습니다. 보안 전문업체 노조미 네트워크(Nozomi Networks)의 보고서에 따르면, 이번 공격은 취약한 IoT 기기를 타깃으로 빠르게 확산되고 있습니다.
Cling 봇넷의 가장 큰 특징은 새로운 유포 기법을 사용하는 대신, 일반적인 네트워크 프로토콜인 STUN(Session Traversal Utilities for NAT)의 동작을 재활용하여 명령 제어(C2) 통신 채널로 구축했다는 점입니다. 정상적인 STUN 트래픽으로 위장함으로써 기존 보안 시스템의 탐지를 우회하며, 감염된 기기들은 공격자의 명령에 따라 봇넷 네트워크의 일부로 악용될 수 있습니다. 영향 범위는 해당 Realtek Jungle SDK를 탑재한 공유기 및 IoT 장비 전반에 걸쳐 있습니다.
이러한 피해를 막기 위해 해당 SDK를 사용하는 기기의 운용자와 관리자는 제조사에서 제공하는 최신 보안 패치를 즉시 적용해야 합니다. 또한, 네트워크 내에서 발생하지 않아야 할 이상 STUN 트래픽을 모니터링하고, IoT 기기들을 내부 중요한 네트워크와 분리하는 등 다층적인 보안 조치를 취해야 합니다.
♥ 추천 0
이미 패치된 SDK라도 임베디드 환경 특성상 의존성 업데이트가 늦어져 공격 표면으로 계속 남는 전형적인 공급망 보안 문제입니다. 특히 VoIP나 WebRTC에서 사용하는 정상적인 STUN 프로토콜을 C2 채널로 재활용한 점은 기존 방화벽과 DPI(Deep Packet Inspection) 필터링을 우회하려는 영리한 접근 방식입니다. 개발 단계에서 서드파티 SDK 패치 주기(SBOM)를 철저히 관리함과 동시에, 네트워크 아키텍처 관점에서는 표준 프로토콜의 비정상적인 페이로드 및 트래픽 패턴을 감지하는 모니터링 로직이 강화되어야 합니다.
패치가 공개된 1-day 취약점임에도 펌웨어 업데이트가 더딘 IoT 환경 특성상 Realtek SDK는 여전히 공격 성공률이 높은 최적의 침투 경로입니다. 특히 정상적인 STUN 프로토콜을 C2 채널로 재활용하는 방식은 일반적인 방화벽과 IDS의 트래픽 모니터링을 손쉽게 우회할 수 있어 은닉성이 뛰어납니다. 검증된 타깃 취약점과 차단하기 까쁜 정상 프로토콜의 결합은 공격자 입장에서 최소한의 공수로 장기적인 침투 상태를 유지할 수 있는 매우 가성비 높은 공격 시나리오입니다.
이미 패치된 공급망(SDK) 취약점이라도 임베디드 기기의 미흡한 패치 관리를 노린 공격은 여전히 조직에 위협적입니다. 특히 STUN과 같은 정상 프로토콜을 C2 채널로 악용하는 방식은 기존 경계 보안 시스템을 우회하므로 네트워크 트래픽의 행위 기반 이상 탐지가 시급합니다. 조직 내 하드웨어 자산의 패치 사각지대를 재점검하고, 정상 프로토콜 오남용을 모니터링할 수 있도록 보안 거버넌스를 즉시 강화해야 합니다.