주간 보안 Top 5 - 8.17 ~ 8.23

이번 주 한눈에 실제 악용 중인 VMware vCenter 결함부터 CVSS 10점 만점의 시스코 취약점까지, 인프라 관리 제품의 패치가 급했던 한 주였다. 국내에서는 4천만건대 개인정보 판매 주장이 잇따랐고, 미국의 민간 ‘해킹 반격’ 허용 등 공세적 정책 전환 흐름도 뚜렷했다.

1. 중국 연계 APT, vCenter 취약점 악용해 Babuk 랜섬웨어 유포

분류 취약점·패치 · 주요 대상 가상화 인프라 운영 조직

선정 이유: 패치가 나온 지 얼마 안 된 치명적 결함이 국가 배후 추정 그룹의 랜섬웨어 공격에 실제 악용된, 이번 주 가장 시급한 실전 위협이라 선정했다.

중국 정부와 연계된 것으로 추정되는 APT(지능형 지속 위협, 특정 목표를 정해 장기간 은밀히 침투를 지속하는 공격 형태) 그룹이 최근 패치된 VMware vCenter의 보안 취약점을 악용해 바북(Babuk) 랜섬웨어 변종을 유포한 것으로 확인됐다. 악용된 취약점은 CVSS(공통 취약점 점수 시스템) 9.8점에 달하는 치명적 결함으로 7월 28일 패치가 완료된 상태였고, 인증 우회 취약점 CVE-2026-59309도 함께 악용됐다.

공격의 파괴력은 vCenter의 위치에서 나온다. vCenter는 기업의 가상머신(VM) 인프라를 중앙에서 관리하는 콘솔로, 치명적 결함과 인증 우회 결함이 결합해 이곳이 뚫리면 그 위에서 돌아가는 수많은 가상 서버를 한꺼번에 장악하거나 암호화할 수 있다. 서버 한 대가 아니라 인프라 전체가 인질이 되는 구조라 랜섬웨어 공격자들이 선호하는 표적이다. 국가 배후로 추정되는 그룹이 랜섬웨어까지 동원했다는 점은 파괴와 수익 목적이 결합되는 추세를 보여준다.

이미 패치가 나온 취약점인 만큼 대응의 핵심은 속도다. 패치가 공개되면 공격자가 이를 분석해 공격 코드를 만들어내는 것이 일반적이어서, 패치와 실제 적용 사이의 공백이 곧 공격 창이 된다. vCenter를 운영하는 조직은 7월 28일자 패치 적용 여부를 즉시 확인하고, 관리 인터페이스를 인터넷에서 격리해 접근 경로 자체를 줄이는 것이 최우선 대응이다.

관련 기사

08.18 - 중국 연계 추정 해킹그룹, Babuk 랜섬웨어 변종 유포… VMware vCenter 취약점 악용

2. 시스코, CVSS 10점 만점 5건 포함 치명적 취약점 9건 패치

분류 취약점·패치 · 주요 대상 네트워크 관리자

선정 이유: 심각도 만점(CVSS 10.0) 취약점이 한 제조사 제품군에서 5건이나 한꺼번에 나온 이례적 사례로, 악용 사례가 나오기 전 패치할 수 있는 골든타임이 걸려 있어 선정했다.

시스코가 네트워크 관리·보안 제품인 크로스워크(Crosswork)와 시큐어 워크로드(Secure Workload)에서 발견된 보안 취약점 9건에 대한 패치를 배포했다. 이 가운데 5건은 심각도 평가에서 최고점인 CVSS 10.0을 기록했으며, 크로스워크에서 발견된 4건 중 3건이 만점에 해당한다. 시스코는 내부 보안 점검 과정에서 취약점을 자체 발견했고, 현재까지 실제 공격에 악용된 사례는 확인되지 않았다고 밝혔다.

CVSS는 취약점의 심각도를 0~10점으로 수치화하는 표준 지표로, 10.0은 인증 없이 원격에서 시스템을 장악할 수 있는 수준의 최고 등급을 뜻한다. 이번 취약점들은 장비 설정과 무관하게 원격 공격자가 인증 없이 시스템을 장악하거나 악성 행위를 수행할 수 있는 위험을 내포한다. 특히 네트워크 관리 제품은 인프라 전반의 설정과 접근 권한이 모이는 지점이라, 이런 제품이 장악되면 그 제품이 관리하는 인프라 전체가 위험해진다. 관리 도구가 공격자의 교두보가 되는 구조다.

아직 악용 사례가 없다는 것은 시간을 벌었다는 의미일 뿐이다. 패치가 공개되면 공격자들이 이를 역분석해 공격 코드를 만들어내는 것이 일반적인 수순이므로, 해당 제품을 운영하는 조직은 악용 사례가 나오기 전에 즉시 공식 보안 패치를 적용해야 한다. 아울러 관리 제품의 접근 경로를 내부망으로 한정하고 있는지, 외부 노출 여부를 함께 점검하는 것이 안전하다.

관련 기사

3. 배달 플랫폼·건보공단 명의 4천만건대 판매 주장 잇따라

분류 침해사고·유출 · 주요 대상 일반 사용자·개인정보보호 담당자

선정 이유: 국내 인구 대부분이 잠재 대상인 4천만건대 개인정보 판매 주장이 이틀 연속 나와, 진위와 별개로 2차 피해 대비가 필요해 선정했다.

국내 이용자 대다수가 걸릴 수 있는 규모의 개인정보 판매 주장이 한 주 사이 연달아 나왔다. 먼저 해외 해킹포럼에서 국내 배달 플랫폼 FLY(플라이)를 겨냥해 약 4,790만 건, 46.6GB 규모의 데이터를 확보했다는 판매 글이 게시됐다. 공개된 샘플에는 고객 주소와 GPS 위치정보, 배달 요청사항, 공동현관 비밀번호로 보이는 정보까지 포함됐고, 판매 글 제목에는 주민등록번호와 계좌 정보까지 내걸렸다. 다음 날에는 국민건강보험공단(NHIS) 관련 데이터 약 4,800만 건을 보유하고 있다는 판매 글이 다크웹 포럼에 등장했다. 샘플에는 이름과 주민등록번호, 건강보험 가입 유형, 월 소득, 보험료로 보이는 정보가 공개됐으나, 공단 측은 확인 결과 내부 데이터가 아니라고 밝혔다.

두 건 모두 아직 진위 확인이 필요한 단계다. 해킹포럼의 판매 글은 실제 침해가 아니라 과거 다른 곳에서 유출된 데이터를 짜깁기해 유명 기관 명의로 포장하고 규모를 부풀리는 경우가 적지 않아, 샘플이 해당 기관에서만 나올 수 있는 데이터인지 검증하는 것이 진위 판단의 핵심이다. 다만 주장대로라면 주소·GPS·공동현관 비밀번호처럼 물리적 침입으로도 이어질 수 있는 생활 밀착형 정보이고, 주민등록번호는 한 번 유출되면 바꾸기 어려운 정적 식별자라 진위와 무관하게 파급을 가볍게 볼 수 없다.

이용자는 해당 서비스의 비밀번호를 바꾸고 같은 비밀번호를 쓰는 계정을 정리하는 것으로 우선 대비하고, 이를 사칭한 스미싱·보이스피싱 등 2차 피해에 주의해야 한다. 기업·기관은 침해 여부 조사와 사실로 확인될 경우의 이용자 통지 등 법적 대응 절차를 준비하는 한편, 사칭성 판매 글이라도 다크웹 모니터링과 신속한 사실 확인·공지로 혼란을 줄이는 것이 실질적 대응이 된다.

관련 기사

4. MS 디펜더 정상 드라이버로 보안 솔루션 지우는 기법 공개

분류 악성코드·공격기법 · 주요 대상 기업 보안 담당자

선정 이유: 보안 제품 자신의 정상 드라이버로 보안 기능을 제거하는 기법이 블랙햇·데프콘에서 공개돼, 서명 기반 신뢰 모델의 사각지대를 드러냈기에 선정했다.

마이크로소프트 윈도 디펜더가 사용하는 정상 드라이버를 악용해 보안 기능을 제거할 수 있는 공격 기법 ‘BTR Reforged’가 공개됐다. 체크포인트 리서치의 이르지 비노팔 연구원이 블랙햇 USA 2026과 데프콘(DEF CON) 34에서 발표한 기법으로, 윈도에 기본 탑재된 MS 디펜더의 서명된 정상 복구 드라이버 BTR.sys를 조작해 부팅 시 커널 권한(운영체제 심장부의 최고 권한)으로 파일과 레지스트리를 변조하고 임의의 보안 소프트웨어를 삭제할 수 있다.

기존의 드라이버 악용 공격인 BYOVD(취약한 서명 드라이버를 공격자가 직접 가져와 커널 권한을 얻는 기법)는 취약한 서드파티 드라이버를 별도로 반입해야 했다. 반면 이 기법은 윈도에 기본 탑재된 정상 서명 드라이버를 그대로 쓰기 때문에 새로운 취약점 공격이나 외부 파일 반입이 필요 없다는 점이 특징이다. 정상 서명된 구성 요소는 보안 솔루션이 신뢰하고 통과시키는 경우가 많아, 이런 ‘정상 도구의 무기화’(LOLBAS 기법의 일종)는 탐지가 훨씬 어렵다. 보안 제품을 지우는 도구로 보안 제품 자신의 드라이버가 쓰이는 역설적 구조다.

백신이 지워진 뒤의 공격은 막을 수 없으므로 방어의 초점은 그 앞 단계에 있다. 드라이버 조작에는 먼저 시스템 권한을 확보해야 하는 만큼 관리자 권한 획득 자체를 막는 계정 통제가 첫 번째 방어선이고, 보안 솔루션 상태(비활성화·삭제) 변화를 감시하는 모니터링과 부팅 프로세스 감시가 실무적인 대응책이다.

관련 기사

5. 美, 민간기업의 해외 사이버범죄 조직 ‘해킹 반격’ 허용

분류 정책·제도 · 주요 대상 보안 정책·전략 담당자

선정 이유: 금기시돼 온 민간의 ‘해킹 반격’을 제도화한 미국의 정책 전환은 글로벌 사이버 교전 규범을 바꿀 수 있는 분수령이라 선정했다.

도널드 트럼프 미국 대통령이 8월 12일 ‘초국가적 사이버 범죄 대응 역량 확대’ 대통령 각서에 서명했다. 이에 따라 미국 정부는 검증된 민간 사이버보안 기업을 해외 사이버범죄 조직에 대한 공격 작전에 투입할 수 있게 됐으며, 정부 승인을 받은 기업은 범죄조직의 서버에 침투해 정보를 수집하고 시스템을 마비시키는 작전까지 수행할 수 있다. 연간 피해가 수백억 달러 규모에 달하는 초국가적 사이버 범죄망을 막겠다는 취지다. 같은 시기 독일 정부도 정보기관에 해외 시스템 해킹과 사보타주(시설·시스템이 정상 작동하지 못하도록 의도적으로 방해·파괴하는 행위) 권한을 부여하는 법 개정을 추진하고 나섰다.

이는 피해자 측이 공격자를 되받아치는 이른바 ‘핵백(hack-back)‘을 국가 승인 아래 제도화하는 셈이다. 핵백은 무고한 제3자 시스템을 오폭할 위험과 확전 우려 때문에 그동안 대부분의 국가에서 민간 주체에게는 금기시돼 온 영역이다. 랜섬웨어·금융사기 조직이 사법권이 미치지 않는 해외에 있어 처벌이 어렵다는 현실이 배경이지만, 공격 귀속(어느 조직의 소행인지 특정하는 일)이 틀리면 무고한 대상을 공격하거나 외교 문제로 비화할 수 있고, 민간이 공격 작전의 주체가 되면 책임 소재와 국제법 충돌 문제가 뒤따른다.

방어 중심이던 국가 사이버 정책이 공격 원점을 직접 타격하는 ‘적극 대응(active defense)‘으로 옮겨가는 흐름은 국가 간 사이버 교전 규범 논의를 가속할 전망이다. 국내 기업에 당장 적용되는 제도는 아니지만, 미국발 공세적 사이버 정책 변화가 글로벌 위협 지형과 규범에 미칠 영향을 주시할 필요가 있다.

관련 기사

이 정리는 8월 17일~8월 23일 수집된 보안 뉴스 76건 중에서 자동 선별되었습니다.