보안 동향
2026년 10월 3주차 동향 보고서
2026년 10월 3주차에는 원격 관리 장비의 취약점을 발판으로 자격증명과 신뢰 자료를 확보하고 내부 접근 경로를 확장한 침해 두 건이 공개됐다. ARMORY CASTLE은 BeyondTrust Remote Support의 제로데이를 악용해 루트 권한, 웹셸과 프록시 터널을 확보했으며, CL-STA-0954 또는 UNC5820으로 추적되는 조직은 앞서 탈취한 FortiManager 구성 정보를 이용한 침입에서 FortiGate 프로세스 메모리에 PEERSTITCH를 주입했다. 별도로 Hirudo는 정상 은행 앱을 변조본으로 교체해 앱 내부 검사를 우회했고, KGB RAT는 Windows 감시와 자격증명 탈취 기능을 구독형 악성코드로 제공했다. 김수키의 Operation GitPower는 우크라이나 전문가에게 행사 초청과 협업 요청을 제시한 뒤 악성 바로가기 파일과 가짜 화상회의 설치 프로그램을 전달했으나, 관측된 시도 대부분에서 공격 성공은 확인되지 않았다.
주요 동향
BeyondTrust Remote Support 제로데이 침해
ARMORY CASTLE은 2026년 8월 말 BeyondTrust Remote Support의 CVE-2026-102764를 패치 공개 전에 악용해 호스팅 인스턴스와 자체 호스팅 어플라이언스를 침해했다. 이 취약점은 내부 메시징 구성요소의 출처 검증 부재로 인해 인증되지 않은 원격 공격자가 파일 작업을 수행할 수 있게 했다. Mandiant는 후속 활동을 이전에 UNC5221로 추적한 중국 연계 추정 첩보 행위자에게 귀속했다.
침해 후 공격자는 암호화된 양방향 명령 통신과 PHP 코드 실행을 지원하는 SAWFLY 웹셸을 배포했다. 이어 SUID 권한이 설정된 셸 복사본으로 루트 권한을 얻고, 시작 스크립트와 권한 템플릿을 바꿔 사이트 서비스 계정에 비밀번호 없는 관리자 권한이 유지되도록 했다. BeyondTrust의 비밀 관리 기능을 통해 비밀번호, API 키와 엔드포인트 자격증명 획득을 시도했으며 관련 로그도 삭제했다.
공격자는 탈취한 관리자 계정의 Jump Item과 팀 권한을 Administrator로 높여 내부 엔드포인트에 원격 지원 세션을 열고 파일 전송 기능으로 문서와 소프트웨어 인벤토리 정보를 수집했다. WebSocket 기반 SOCKS5 프록시인 BARECLAW를 설치하고 역방향 프록시 설정을 변경해 침해 장비를 경유하는 내부 접근 경로도 구성했다. 웹 서버와 애플리케이션 로그 삭제가 함께 관측됐으므로, 패치 적용만으로 기존 침해 여부를 해소할 수 없는 상태로 제시됐다.
FortiGate 메모리 상주 임플란트 PEERSTITCH
CL-STA-0954 또는 UNC5820으로 추적되는 조직은 2024년 9월 통신 관리형 서비스 제공업체의 FortiManager를 CVE-2024-47575로 침해한 뒤, 관리형 FortiGate 방화벽 500대가 넘는 환경과 연결된 구성 아카이브를 탈취했다. 아카이브에는 관리 관계와 네트워크 구조를 드러내는 구성 정보, 관리자 및 VPN 자격증명과 암호화 신뢰 자료가 포함됐다. 공격자는 복구한 자격증명으로 무단 VPN 세션을 만들고 하위 방화벽에 패킷 캡처 설정을 배포해 평문 통신, 인증과 디렉터리 조회 트래픽을 가로챘다.
이후 공격자는 FortiOS 자동 스크립트 기능의 경로 탐색 취약점인 CVE-2025-61624를 악용해 관리자 권한에서 기반 운영체제의 루트 권한으로 상승하고 ARM64용 PEERSTITCH를 배포했다. PEERSTITCH는 일회성 인젝터가 정상 로깅 및 VPN 관련 데몬에 연결해 익명 실행 메모리로 코드를 복사하고, 정상 실행 경로를 악성 훅으로 변경하는 방식으로 동작했다. 디스크에 지속 파일이나 별도 수신 포트를 남기지 않으며, 정상 프로세스가 처리하는 기존 트래픽과 데몬 간 메모리 통신을 이용해 특정 VPN 세션의 보안 검증 흐름을 우회했다.
공격자는 인증서 관리 요청의 처리 흐름을 악용한 별도 역방향 셸도 구성했다. 악성 실행 전후로 로그 데몬을 중단하고 충돌 로그, 관리자 계정, 스크립트 객체와 인젝터 파일을 제거해 흔적을 줄였다. FortiManager를 가장해 구성 정보를 내려받은 경로에는 별도 취약점 악용이나 탈취한 신뢰 자료 재사용이 가능했지만, 두 방식 가운데 어느 것이 사용됐는지는 구분되지 않았다. CISA는 CVE-2025-61624를 실제 공격에 악용된 취약점으로 분류했다.
은행 앱 교체형 Android 악성코드 Hirudo
Hirudo는 정상 은행 앱 위에 가짜 화면을 겹치는 대신 보안 검사가 제거되거나 변조된 사본으로 앱 자체를 교체하는 Android 뱅킹 RAT다. ThreatFabric은 인도네시아 은행 앱 8종에 맞춘 교체본을 확인했으며, 인도네시아 외에도 중국, 인도, 멕시코, 모로코와 태국의 금융기관을 겨냥한 자격증명 탈취 기능을 식별했다.
유포에 사용된 드로퍼는 쇼핑, 성인 콘텐츠와 짧은 드라마 앱으로 위장하고 WebView에서 정상 콘텐츠를 제공했다. 이후 가짜 인앱 업데이트와 앱 장터 페이지를 제시해 Hirudo를 별도 앱으로 설치하도록 유도하고 접근성 권한을 요청했다. 설치된 Hirudo는 대상 은행 앱을 식별해 정상 앱의 제거 화면을 연 뒤 은행별 변조본을 내려받았다. 일부 변종은 설치 중 VPN 연결을 의도적으로 끊어 온라인 평판 검사와 코드 분석을 약화하려 했다.
변조 앱의 후킹 엔진은 앱 서명, 접근성 서비스, 화면 캡처 제한과 Play Integrity 검사 결과를 공격자가 준비한 응답으로 대체했다. 이를 통해 계좌 자격증명, 결제 PIN, 기기 잠금 해제 정보와 SMS를 탈취할 수 있었고, 화면 스트리밍과 캡처, 오디오 녹음, 카메라 접근과 실시간 원격 제어 기능도 제공했다. 공격자 서버를 거친 무결성 응답도 신뢰할 수 없다는 평가가 제시돼, 기기에서 생성된 검증 신호만으로 변조 여부를 판단하는 방식의 한계가 드러났다.
구독형 Windows 원격접속 악성코드 KGB RAT
KGB RAT는 Windows용 원격접속 트로이목마를 정상 관리 소프트웨어로 위장해 월 구독 형태로 판매한 MaaS형 도구다. Group-IB는 이 악성코드가 난독화된 NjRAT 계열 코드를 기반으로 하며, 자격증명 탈취와 키로깅, 숨김 원격 데스크톱, 화면, 카메라와 마이크 접근, 랜섬웨어 및 피해자 괴롭힘 기능을 하나의 빌더에 결합했다고 분석했다. 공통 빌더를 사용하는 복수 운영자의 정황도 확인됐다.
난독화되고 암호화된 드로퍼는 실행 중 최종 페이로드를 복원했다. 분석된 샘플은 임시 폴더에 자신을 복사한 뒤 정상 Windows 프로세스명으로 위장하고, 업데이트 작업으로 위장한 예약 작업을 만들어 사용자 로그온 때 재실행됐다. WMI로 운영체제, 실행 프로세스와 보안 제품을 조사하고 가상 환경과 분석 도구를 탐지했으며, 파일 숨김 표시와 보안 경고에 관련된 레지스트리 값을 변경하고 실행을 지연하는 방식도 사용했다.
실행 후에는 Windows 자격증명 저장소와 브라우저 정보, 키 입력, 화면, 클립보드와 시스템 정보를 수집했다. 일부 샘플은 클립보드의 암호화폐 지갑 주소를 공격자 주소로 바꿨다. 명령 통신에는 직접 소켓과 HTTP를 사용하고, 신규 감염 연결 알림은 Telegram으로 분리했다. 판매자는 내장 크립터가 Windows Defender를 비롯한 보안 제품을 우회하거나 비활성화한다고 광고했지만, 모든 빌드에서 해당 우회가 성공하는지는 검증되지 않았다.
우크라이나 전문가 대상 Operation GitPower
김수키는 Operation GitPower에서 우크라이나의 외교, 안보와 국제정책 전문가를 대상으로 실제 행사 초청과 연구 협력 요청을 사칭했다. KCSCON 2026의 행사 정보와 발표자 초청 절차도 미끼로 사용됐지만 행사 운영 시스템 자체가 침해된 사례는 아니었다. 공격자는 회의 주최자나 신뢰할 만한 연락처를 가장한 맞춤형 이메일로 먼저 답신을 유도한 뒤 암호화된 압축 파일, 코드 저장소 링크와 PDF 문서로 위장한 Windows 바로가기 파일을 전달했다.
바로가기 파일은 이중 확장자와 PDF 아이콘으로 형식을 숨기고 명령 실행 도구를 호출해 외부 코드 저장소에서 미끼 문서와 후속 스크립트를 내려받았다. 일부 변종은 정상 초청장 PDF를 표시했으며, 난독화된 PowerShell 명령과 VBS 구성요소는 코드를 메모리에서 실행하고 시스템 정보와 다운로드 폴더 목록을 수집한 뒤 GitHub Contents API를 통해 전송했다. 실행 뒤에는 임시 파일과 초기 스크립트를 삭제했다. 악성 파일 전달이 실패한 경우에는 가짜 화상회의 로그인 페이지로 유도하는 후속 피싱도 시도됐다.
별도의 가짜 Zoom 설치 프로그램은 악성 스크립트와 업데이트로 위장한 예약 작업을 만든 뒤 정상 설치 프로그램을 실행했다. 예약 작업은 원격 위치에서 추가 스크립트를 반복적으로 내려받아 실행했고, 동일한 저장소와 스크립트 구조가 여러 미끼에서 재사용됐다. 공유 코드, 파일명, 예약 작업과 수집 정보 업로드 방식이 기존 GitPower 활동과의 연계 근거로 제시됐다. 캠페인 인프라에서 일본어 문서도 발견돼 일본어 사용자 대상 공격 준비 가능성이 제기됐으나, 관측된 시도 대부분에서 공격 성공은 확인되지 않았다.