중국 연계 해커들이 감사 추적 가시성 감소를 위해 VMware ESX 제로데이 취약점 악용

brown metal shield wall decor — Unsplash

미국 사이버 보안 및 인프라 보안국인 CISA가 수요일에 Broadcom VMware ESX에 영향을 미치는 보안 결함을 알려진 악용 취약점 목록에 추가했습니다. 이는 Warp Panda로 알려진 중국 연계 위협 행위자가 미국 법률 분야를 겨냥한 공격에서 해당 결함을 무기화했다는 CrowdStrike의 발표 이후에 이루어졌습니다.

문제가 된 취약점은 CVE-2026-41709이며 CVSS 점수는 2.7점입니다. 이 결함은 로깅이 불충분한 사례로, 관리자 권한을 가진 악의적인 행위자가 특정 작업을 수행할 때 로그에 기록되지 않도록 허용할 수 있습니다. Broadcom은 2026년 7월에 발표한 권고문에서 이 문제가 특정 버전에서 해결되었다고 밝혔습니다.

CrowdStrike의 2026년 법률 위협 지형 보고서에 따르면 Warp Panda는 감사 추적 가시성을 줄이기 위해 2026년 초에 CVE-2026-41709를 제로데이로 악용했습니다. 이 위협 행위자는 인터넷에 연결된 엣지 장치에서 제로데이 취약점과 맞춤형 악성코드를 사용하여 은밀하고 지속적인 액세스를 유지합니다. 또한 감사 로깅을 우회하고 클라우드 세션 토큰을 수집하며 가짜 다요소 인증 장치를 등록함으로써 탐지를 적극적으로 회피합니다.

Armory Castle, Clay Typhoon, VerdantBamboo로도 추적되는 이 집단은 Citrix NetScaler 및 Ivanti Connect Secure 장치의 제로데이 취약점을 무기화한 이력이 있습니다. 최근 Mandiant는 이들이 BeyondTrust Remote Support의 심각한 부적절한 원본 검증 결함인 CVE-2026-102764를 악용하여 SAWFLY 및 BARECLAW와 같은 악성코드 제품군을 배포했다고 분석했습니다.

Warp Panda의 공격 방식은 인터넷 연결 엣지 장치를 통해 초기 액세스를 확보한 후 VMware vCenter 환경으로 이동하여 BRICKSTORM 및 SharpStorm과 같은 맞춤형 악성코드를 배포하는 것입니다. 일부 침입에서는 Microsoft 365 환경에 접근하기 위해 클라우드 서비스에서 사용자 세션 토큰을 추출했으며, 비밀번호가 변경되어도 지속적인 액세스를 유지하기 위해 침해된 계정에 새로운 다요소 인증 장치를 등록한 사례도 있습니다.

CISA는 CVE-2026-41709의 활발한 악용에 따라 연방 민간 행정부 기관들이 2026년 11월 11일까지 수정 사항을 적용할 것을 권고했습니다.