보안 · 2026년 10월 19일

BeyondTrust, 8월 이후 공격에 악용된 제로데이 취약점 패치 권고

brown padlock on blue wooden door — Jornada Produtora / Unsplash

BeyondTrust는 목요일, 8월 말부터 제로데이 공격에 악용되어 온 원격 지원(RS) 제품의 치명적 결함에 대한 패치를 고객에게 적용할 것을 경고했다.

해당 취약점은 CVE-2026-102764로 분류되며, 권한이 없는 원격 공격자가 패치가 적용되지 않은 기기에 대해 파일 작업을 수행할 수 있는 인증 우회 결함이다. 이 결함은 RS 26.2.3 이하 버전에 영향을 미친다. BeyondTrust는 10월 8일 모든 원격 지원 및 특권 원격 접근 SaaS 고객에게 보안 문제를 패치했으나, 자동 업데이트가 비활성화된 자체 호스팅 설치 환경은 수동으로 패치를 적용해야 한다.

BeyondTrust는 내부 테스트에서 특권 원격 접근(PRA)에서 이 취약점을 악용하는 방법을 발견하지 못했지만, PRA가 영향을 받는 코드를 공유하고 있어 신중을 기하기 위해 PRA 패치도 함께 배포했으며, 자체 호스팅 PRA 고객에게 즉시 적용을 권고했다.

이 제로데이 취약점은 Mandiant와 Google Threat Intelligence Group이 'Armory Castle'로, CrowdStrike가 'Warp Panda'로 추적하는 중국 연계 스파이 행위자에 의해 야생에서 악용된 것으로 확인되었다. Mandiant 연구원들은 Armory Castle 해커들이 이 결함을 악용해 초기 접근을 확보한 후, Set User ID(SUID) 권한을 활성화하여 침해된 기기의 루트 권한으로 상승했다고 밝혔다.

공격자들은 이후 Sawfly 웹 셸과 Bareclaw 터널러 악성코드를 배포하고, 탐지를 회피하기 위해 로그를 삭제했으며, 침해된 관리자 자격 증명을 사용하여 하위 시스템에 원격 세션을 열어 네트워크 내에서 횡적 이동을 수행했다. Mandiant는 공격자가 웹 셸을 통해 기반을 마련한 후 웹 서비스 계정으로부터 기기의 루트 수준 제어 권한으로 상승했으며, 이는 기기가 저장하거나 브로커링한 모든 자격 증명에 대한 접근 권한과 재부팅 및 구성 초기화에 살아남는 파일을 수정할 수 있음을 의미한다고 설명했다.

Mandiant는 취약 버전에서 인터넷에 노출되어 있던 모든 기기는 검토가 완료될 때까지 잠재적으로 침해된 것으로 취급해야 한다고 경고했다. 인터넷 위협 감시 기관 Shadowserver는 온라인에 노출된 BeyondTrust 원격 지원 인스턴스가 1,400개 이상임을 추적하고 있으나, 그중 몇 개가 이미 보안이 강화되었거나 허니팟인지에 대한 정보는 제공하지 않는다.

Armory Castle은 2023년 10월 이후 네트워크 엣지 기기의 제로데이 취약점을 표적으로 삼아 기업 네트워크를 침투하고 새로운 맞춤형 악성코드를 배포해 온 것으로 알려져 있다. 위협 정보 회사 Volexity는 2024년 1월, UNC5221이 CVE-2023-46805와 CVE-2024-21887 제로데이를 체이닝한 공격으로 GiftedVisitor 웹셸을 사용하여 2,100개 이상의 Ivanti 기기에 백도어를 설치했다고 밝혔다.

BeyondTrust는 정부 기관과 포춘 100대 기업의 75%를 포함한 전 세계 20,000개 이상의 고객에게 신원 보안 서비스를 제공하고 있다.