BeyondTrust는 자사의 Remote Support(RS) 솔루션에서 발견된 심각한 보안 취약점이 8월 말부터 제로데이 공격에 악용된 사실을 확인한 뒤 고객들에게 경고했다. 이 취약점은 CVE-2026-102764로 식별되며, 26.2.3 이하 버전에 영향을 미친다. 또한 원격의 비권한 공격자가 인증을 우회하고 패치되지 않은 장치에서 파일 작업을 수행할 수 있게 한다.
회사는 10월 8일 SaaS 버전을 사용하는 Remote Support 및 Privileged Remote Access 고객을 대상으로 패치를 출시했다. 자체 호스팅 환경의 경우 자동 업데이트가 활성화되어 있지 않다면 관리자가 직접 업데이트를 설치해야 한다. BeyondTrust의 내부 테스트에서는 Privileged Remote Access에서 이 취약점을 악용하는 방법이 확인되지 않았지만, 해당 제품은 Remote Support와 영향을 받은 코드를 공유한다. 이에 따라 회사는 Privileged Remote Access에도 패치를 발표했으며, 자체 호스팅 고객에게 즉시 적용할 것을 권고했다.
접근 후 권한 상승에 악용
Mandiant와 Google Threat Intelligence Group의 연구원들은 해당 공격을 관찰하고 Armory Castle이라는 조직의 소행으로 분류했다. 이 조직은 과거 UNC5221이라는 이름으로 알려졌으며, CrowdStrike는 이를 Warp Panda라고 부른다. 이 그룹은 중국과 연계된 것으로 의심된다.
공격자들은 이 취약점을 악용해 장치에 최초 접근한 뒤 Set User ID(SUID) 권한을 활성화해 root 권한으로 상승했다. 이후 악성 웹셸 Sawfly와 네트워크를 통한 확장을 위한 도구 Bareclaw를 배포하고, 탐지 가능성을 줄이기 위해 로그를 삭제했다. 또한 탈취한 Administrator 자격 증명을 사용해 네트워크 내 다른 시스템에서 원격 세션을 열었다.
Mandiant에 따르면 호스트에 root 권한으로 접근할 수 있게 된 공격자들은 장치가 저장하거나 전달하는 자격 증명에 접근하고, 재부팅 후에도 유지되는 파일을 수정하며, 설정을 재설정할 수 있었다. 따라서 연구원들은 악용 기간에 인터넷에 노출된 상태로 영향을 받은 버전을 실행한 모든 장치를 검토가 완료될 때까지 침해된 것으로 간주할 것을 권고했다.
왜 중요한가?
이 취약점은 위험성을 높이는 세 가지 요소를 결합한다. 패치가 제공되기 전에 실제 악용이 발생했다는 점, Remote Support가 네트워크 경계에 위치한다는 점, 그리고 지원팀과 연결된 시스템이 사용하는 자격 증명에 접근할 수 있다는 점이다. 또한 Shadowserver는 인터넷에 노출된 BeyondTrust Remote Support 인스턴스를 1,400개 이상 추적하고 있지만, 이 가운데 몇 개가 보호되었는지 또는 테스트용 허니팟을 나타내는지는 밝히지 않았다.
이는 노출된 모든 장치가 침해되었다는 뜻은 아니다. 그러나 특히 자체 호스팅 버전을 사용하는 조직에서는 로그 확인, 계정 및 파일 검토, 패치 설치를 즉시 우선순위로 삼아야 한다.
위협 상황과 남은 질문
Armory Castle은 Citrix NetScaler와 Ivanti Connect Secure를 비롯한 네트워크 경계 장치를 표적으로 삼아 기업 네트워크에 접근하고 맞춤형 악성코드를 배포한 전력이 있다. Mandiant는 CVE-2026-102764가 공개된 뒤 악용이 확대될 가능성을 경고했다. 과거 캠페인에서도 취약점에 대한 선택적 악용으로 시작한 뒤 관련 정보가 공개되면 광범위한 활동으로 전환한 사례가 있었기 때문이다.
현재 캠페인에서 침해된 조직의 수나 특정 고객의 자격 증명이 탈취되었는지는 출처가 밝히지 않았다. 따라서 패치 설치는 필수적인 조치이지만, 악용 기간에 노출되어 있던 장치에 대한 조사를 대신할 수는 없다.