원격 관리 서버가 뚫렸다: 비욘드트러스트 제로데이 사태와 엔터프라이즈 침투 방어 전략

원격 관리 통로가 뚫렸다: 비욘드트러스트 제로데이와 아모리 캐슬의 기습

회사 건물 전체를 열 수 있는 경비실의 마스터키 보관함이 밤사이에 도둑맞았다면 어떤 일이 벌어질까. 원격 근무자와 사내 전산망을 기술적으로 연결해 주는 기업용 원격 지원 장비가 뚫렸다는 것은 바로 이런 상황을 의미한다. 2026년 8월 말, 글로벌 보안 소프트웨어 기업 비욘드트러스트(BeyondTrust)의 원격 지원(Remote Support, 구 봄가) 시스템에서 치명적인 제로데이 보안 취약점이 발견되어 실제 해킹에 악용된 사실이 드러났다.

이번 침해를 주도한 배후는 ‘아모리 캐슬(Armory Castle)‘로 추적되는 중국 연계 사이버 스파이 조직이다. 보안 업계에서 과거 UNC5221 혹은 워프 팬더(Warp Panda)라는 코드명으로 불리던 이 조직은 지난 수년간 시트릭스 넷스케일러(Citrix NetScaler)와 이반티 커넥트 시큐어(Ivanti Connect Secure)의 미공개 취약점을 집요하게 파고들어 각국 정부 기관, 기술 기업, 대형 로펌, 아웃소싱 업체의 빗장을 풀었던 전력이 있다.

비욘드트러스트의 발표에 따르면, 공격자들은 2026년 8월 29일 단 하나의 자체 구축형(Self-hosted) 원격 지원 장비를 정밀 타격하여 제로데이 공격을 성공시켰다. 이후 9월 하순 다른 보안 장비 제조사에서 유사한 침해 징후가 외부에 공개되자 비욘드트러스트는 긴급 내부 조사에 착수했고, 자사 장비에 숨겨져 있던 미확인 결함을 확인했다.

비욘드트러스트는 클라우드형 서비스(SaaS) 고객을 대상으로는 2026년 10월 9일 패치를 자동으로 배포해 위험을 차단했다. 그러나 서버를 자체 전산실이나 독립 클라우드 인프라에 직접 올려서 쓰는 기업 고객의 경우, 구버전 소프트웨어를 방치했다면 이미 공격자의 침투 통로로 전락했을 가능성이 높다.

특히 이번 사건에서 주목할 점은 공격 집단이 사전에 고가치 표적 소프트웨어를 선별한 뒤, 인공지능 분석 환경에 해당 제품의 동작 방식을 복제해 두고 침투 도구를 정교하게 벼려왔다는 정황이다. 상용 장비의 구조를 개발사 내부 엔지니어 수준으로 깊이 꿰뚫어 본 뒤 허점을 찌르는 표적형 공격이 본격화되고 있다.

---

CVSS 9.3의 파괴력: 온프레미스 지원 장비의 침해 경로와 버전별 취약점 매트릭스

이번에 드러난 취약점은 식별번호 CVE-2026-102764로 등록되었으며, 위험도를 나타내는 CVSS 점수는 10점 만점에 9.3점에 달한다. 최고 수준의 위험 등급이다. 취약점의 본질은 원격 지원 장비 내부 컴포넌트 간에 오가는 메시지의 출처를 제대로 검증하지 않는 설계 결함에 있다.

정상적인 환경이라면 내부 시스템끼리만 주고받아야 할 명령어를 공격자가 외부에서 위조하여 보낼 수 있었고, 장비는 이 명령이 신뢰할 수 있는 내부 컴포넌트에서 온 것으로 착각해 임의의 파일을 생성하거나 덮어쓰는 작업을 승인했다. 공격자는 이 결함을 징검다리 삼아 원격 코드를 실행하는 체인을 완성했다.

구글 위협 인텔리전스 그룹(GTIG)과 맨디언트(Mandiant)의 조사에 따르면, 아모리 캐슬은 침투 직후 장비 안에 ‘소플라이(SAWFLY)‘로 명명된 초경량 PHP 웹쉘을 심었다. 이 웹쉘은 외부와 양방향 암호화 통신을 유지하는 은밀한 뒷문 역할을 한다.

공격자는 탐지를 피하기 위해 가정집이나 소규모 사무실에서 쓰는 일반 인터넷 공유기를 먼저 해킹해 중간 경유지로 삼거나, 상용 VPN 출구 노드를 거쳐 트래픽을 유입시켰다. 사내 보안 관제 화면에서는 일반적인 직원이나 재택근무자의 정상 접속 트래픽처럼 위장되어 경보가 울리지 않았다.

구분	SaaS 클라우드 환경	온프레미스 최신군 (24.3.1 – 26.2.3)	온프레미스 구버전 (24.3.1 미만)
운영 방식	비욘드트러스트 호스팅 관리	기업 자체 데이터센터 / 사설 클라우드	사외망 분리 또는 유지보수 만료 장비
위험 노출 여부	10월 9일 패치 배포로 조치 완료	패치 미적용 시 원격 장악 위험 지속	패치 직접 적용 불가 (구조적 무방비)
필요 긴급 조치	보안 로그 내 이상 트래픽 유무 확인	긴급 패치(BT26-05-RS) 즉시 수동 설치	상위 지원 버전으로 업그레이드 후 패치
포렌식 조사 필요성	낮음 (본사 관제 영역)	매우 높음 (8월 말 이후 통신 기록 전수 조사)	필수 (장비 침해를 전제로 전면 감사)
실무 시뮬레이션 영향	서비스 순단 없이 정상 운영	패치 적용 중 재부팅에 따른 15–30분 순단	버전 마이그레이션 작업으로 최소 1–2일 소요

장비의 관리자 셸을 장악한 침투자는 비욘드트러스트 고유의 명령어 도구와 장비 구동 템플릿, 로컬 역방향 프록시 설정을 자유자재로 뜯어고쳤다. 단순한 스크립트 키디가 아니라 해당 소프트웨어의 내부 코드를 분해해 본 수준의 이해도를 갖추고 있었음을 보여준다.

공격자가 이렇게 세팅을 마친 뒤에는 장비가 재부팅되더라도 웹쉘이 살아남아 관리자 권한을 영구히 유지했다. 인터넷에 직접 노출된 상태로 방치된 온프레미스 장비는 사실상 공격자에게 기업 내부망으로 통하는 고속도로 톨게이트를 열어준 셈이다.

---

관리자 권한 탈취가 엔터프라이즈 운영과 공급망에 안긴 치명적 충격

원격 지원 소프트웨어는 시스템 장애를 겪는 임직원의 PC나 사내 핵심 서버에 IT 운영팀이 원격으로 접속해 문제를 고쳐주는 도구다. 이 장비가 장악당했다는 것은 공격자가 사내 모든 컴퓨터에 접속할 수 있는 ‘슈퍼 관리자 권한’을 손에 넣었음을 뜻한다. 현업 실무진과 비즈니스 운영 전반에 미치는 파급력은 크게 세 가지 축으로 나뉜다.

숨은 복구 비용과 포렌식 지출의 폭증

원격 지원 장비가 뚫렸을 때 발생하는 비용은 단순히 소프트웨어를 패치하는 인건비에 그치지 않는다. 침투자가 장비 내부에 암호화되어 저장된 각종 시스템 접속 비밀번호, SSH 키, API 토큰을 읽어갔을 가능성이 크기 때문이다.

업계 평균 데이터 침해 대응 단가를 기준으로 계산해 보면, 침해 사고 1건당 전문 외부 포렌식 업체를 투입해 로그를 정밀 분석하는 데만 최소 수만 달러에서 십만 달러 이상의 긴급 예산이 투입된다. 여기에 전사 계정 정보 폐기 및 재발급, 내부 감사 보고서 작성, 고객사 통지 등에 들어가는 운영 비용(OPEX)은 당초 분기 IT 유지보수 예산을 가볍게 초과하게 만든다.

시스템 전면 중단과 자격증명 교체로 인한 업무 지연

장비가 감염된 사실을 확인한 순간, 가장 먼저 취해야 할 조치는 해당 원격 지원 장비의 네트워크를 외부와 즉시 단절하는 것이다. 그러나 이 조치는 곧바로 사내 IT 지원 업무의 마비로 이어진다. 재택근무 직원의 PC 오류를 원격으로 수정해 주거나 지사 전산망의 문제를 본사에서 해결해 주던 통로가 일시에 막히기 때문이다.

장비에 연결되어 있던 모든 다운스트림 시스템의 관리자 비밀번호를 일괄 교체하고 서비스 토큰을 재설정하는 동안, 정상적인 비즈니스 기능 개발과 배포 일정은 수일에서 수주간 멈춰 서게 된다. 평균적으로 원격 제어망 침해 수습에 소요되는 지연 시간(Lead Time)은 침해 흔적 확인부터 격리 및 정상화까지 최소 72시간에서 길게는 2주 이상 지속된다.

횡적 이동과 하위 협력사 데이터 유출로 무너진 공급망 신뢰

아모리 캐슬과 같은 사이버 스파이 조직의 궁극적인 목표는 장비 그 자체가 아니라, 장비를 디딤돌 삼아 연결된 다른 사내 망으로 침투하는 ‘횡적 이동(Lateral Movement)‘이다. 공격자는 비욘드트러스트 장비의 인증 권한을 악용해 인사 관리 시스템, 소스코드 저장소, 고객 데이터베이스로 조용히 침투했다.

기술 기업이나 외주 운영(BPO), 법무 서비스를 제공하는 기업이 뚫릴 경우, 그 피해는 고스란히 이들 기업을 믿고 내부 시스템 접근 권한을 맡긴 글로벌 고객사로 번진다. 파트너사를 경유한 연쇄 정보 유출은 천문학적인 법적 분쟁과 더불어 기업 브랜드의 대외 신뢰도를 한순간에 무너뜨린다.

---

침투 흔적을 지우는 웹쉘과 AI 무기화에 맞서는 인프라 방어선

기존의 전통적인 방화벽과 침입 탐지 시스템(IDS)은 이번 공격을 막아내지 못했다. 아모리 캐슬은 일반적인 가정용 공유기를 거쳐 정상적인 암호화 트래픽(HTTPS)으로 둔갑해 들어왔고, 장비 내부에서 공식 명령어를 실행하는 형태로 권한을 올렸기 때문이다. 이제 기업들은 경계선만 지키면 안전하다는 낡은 믿음을 버리고 새로운 인프라 관측 체계를 세워야 한다.

이번 사건을 계기로 다수의 글로벌 엔터프라이즈는 인프라 모니터링 환경을 클라우드 네이티브 체계로 전면 재편하고 있다. 서버 내부의 프로세스 변화와 파일 무결성을 실시간으로 들여다보기 위해 호스트당 일정 비용을 지불하고 Datadog 같은 통합 관측 플랫폼을 도입하는 사례가 늘고 있는 이유다. 장비 안에서 평소에 돌지 않던 PHP 프로세스가 뜨거나 시스템 설정 파일이 예고 없이 수정되는 순간 이를 즉시 감지해 네트워크를 차단하는 자동화 조치가 필수적으로 요구된다.

동시에 공격자가 상용 VPN이나 가정용 IP를 악용해 정상 사용자로 위장하는 기법에 대응하기 위해, 로그인한 IP 주소만 믿는 방식에서 벗어나 접속 기기의 물리적 보안 상태를 확인하는 기기 인증(Device Posture) 방식을 도입해야 한다. 장비가 인터넷 공용망에 직접 노출되지 않도록 폐쇄망 안으로 숨기고, 세션 브로커를 거쳐야만 접속을 허용하는 제로 트러스트 네트워크 액세스(ZTNA) 구조로 전환하는 것이 근본적인 해결책이다.

---

원격 지원 도구 침해 사태를 막아낼 엔터프라이즈 3대 방어선

비욘드트러스트 원격 지원 장비를 쓰고 있거나 유사한 원격 관리 도구를 사내에 배포해 둔 조직이라면, 지금 즉시 공격자의 침투 통로를 차단하고 잠재적 위험을 털어내기 위한 3단계 방어선을 구축해야 한다.

1차 방어선: 즉각적인 자산 스크리닝과 패치 긴급 적용

• 공개 인터넷 노출 여부 전수 검사: 기업이 보유한 모든 공용 IP 대역을 스캔하여 비욘드트러스트 원격 지원 포트(기본 웹 및 관리 포트)가 외부 인터넷에 직접 열려 있는지 확인한다. 불필요하게 외부로 열려 있는 장비는 즉시 접근 제어 목록(ACL)을 적용해 내부 사설망이나 VPN 경유로만 접속할 수 있도록 조인다.
• 버전 확인 및 패치 강제: 온프레미스 원격 지원 소프트웨어 버전이 24.3.1 이상 26.2.3 이하인 경우, 비욘드트러스트가 제공하는 긴급 핫픽스인 BT26-05-RS 패치를 당장 설치한다. 버전이 24.3.1보다 낮다면 즉시 상위 안정 버전으로 마이그레이션한 뒤 패치를 얹어야 한다.

2차 방어선: 내부 자격증명 전면 폐기와 침해 잔류물 박멸

• 저장된 시크릿 일괄 폐기 및 재발급: 장비가 인터넷에 노출되어 있었던 이력이 확인되었다면, 해당 장비는 이미 털린 것으로 간주해야 한다. 장비 내부에 등록되어 있던 원격 지원 관리자 비밀번호, 연동된 액티브 디렉터리(AD) 서비스 계정, 하위 서버 접속용 SSH 키와 API 시크릿을 모두 무효화하고 완전히 새로운 값으로 교체한다.
• 포렌식 아티팩트 및 웹쉘 검색: 구글과 맨디언트가 공개한 침해 지표(IoC)를 바탕으로 파일 시스템 검사를 수행한다. 시스템 디렉터리 내에 미승인된 PHP 파일(SAWFLY 웹쉘 의심 파일)이 생성되었는지 확인하고, 웹 서버의 로컬 프록시 설정 템플릿에 변조가 있었는지 전수 검사한다.

3차 방어선: 원격 관리 권한 분리와 상시 모니터링 체계 재구축

• 최소 권한 기반의 세션 격리: 원격 지원 엔지니어에게 부여하는 권한을 시간제 임시 권한(Just-In-Time)으로 전환한다. 작업이 끝나는 즉시 관리자 권한이 회수되도록 구성하고, 지원 세션 동안 일어나는 모든 화면과 키 입력을 녹화하여 중앙 저장소에 보관한다.
• 아웃바운드 트래픽 엄격 통제: 원격 지원 장비가 사외망의 임의 IP로 접속하는 통신을 방화벽에서 기본 차단한다. 특히 알려지지 않은 외부 IP나 상용 VPN 엔드포인트로 향하는 아웃바운드 연결 시도가 감지될 경우, 시스템을 즉각 격리하고 보안 팀에 비상 알림을 쏘는 자동화 룰을 활성화한다.