중국과 연계된 첩보 그룹 Armory Castle이 장기간의 첩보 캠페인에서 패치가 제공되기 전인 2026년 8월 29일부터 BeyondTrust Remote Support 장치의 보안 취약점을 악용했다. CVE-2026-102764로 등록된 이 취약점은 CVSS 기준 9.3의 점수를 받았으며, 메시지 출처를 부적절하게 검증하기 때문에 Remote Support 장치에서 파일 작업을 실행할 수 있도록 한다.
BeyondTrust는 보안 장치 공급업체를 대상으로 한 악용 관련 정보가 공개적으로 등장한 다음 날인 9월 28일에 결함을 확인했다. 회사는 9월 30일까지 패치를 준비했지만, 추가 악용 경로를 테스트하고 처리하기 위해 배포를 연기했으며, 10월 8일 BT26-05-RS 업데이트의 일부로 이를 발표했다.
영향 범위 및 패치 절차
Remote Support 26.2.3 이하의 모든 버전이 영향을 받으며, 패치는 24.3.1부터 26.2.3까지의 버전에 적용됐다. 24.3.1보다 이전 버전을 사용하는 고객은 최신 버전으로 업그레이드한 후 패치를 설치해야 한다. BeyondTrust는 2026년 10월 9일까지 모든 Remote Support SaaS 고객에게 업데이트가 적용됐다고 확인했으며, 자체 호스팅 환경 사용자는 자동 업데이트가 활성화되어 있지 않은 경우 수동으로 설치해야 한다.
침해는 어떻게 수행됐나?
Mandiant와 Google Threat Intelligence Group에 따르면 Armory Castle은 UNC5221 및 Warp Panda로도 알려져 있으며, 이 취약점을 이용해 기업에 호스팅된 BeyondTrust 장치와 자체 호스팅 장치에 최초로 접근했다. 이후 암호화된 양방향 제어 서버 연결을 제공하는 PHP 웹셸 형태의 백도어인 Sawfly와 SOCKS5 터널로 작동하는 Bareclaw를 배포했다.
이 그룹은 장치 호스트에 대한 루트 권한을 장악하고 자격 증명을 수집했으며, 사이트 서비스 계정에 대해 비밀번호 없이 root 권한을 획득한 다음 흔적을 숨기기 위해 시스템, 웹 서버 및 애플리케이션 로그를 삭제했다. 또한 탈취한 관리자 자격 증명을 사용해 계정 권한을 변경하고 원격 시스템을 제어한 뒤 내부 엔드포인트를 표적으로 삼았다.
공격자들은 장치에 내장된 지원 도구를 악용해 전체 파일 시스템에 접근했으며, BeyondTrust의 기본 파일 전송 서비스를 사용해 사용자 장치에서 민감한 내부 문서를 다운로드하고 추출했다. 여기에는 네트워크 정찰에 도움이 되는 설치 소프트웨어 목록도 포함됐다.
이 소식이 중요한 이유
이번 사건이 중요한 이유는 Remote Support 장치가 단순한 외부 접근 지점에 그치지 않고 공격자에게 관리자 계정, 내부 시스템 및 사용자 파일로 향하는 경로를 제공할 수 있기 때문이다. 또한 웹셸 사용, 자격 증명 탈취 및 로그 삭제가 이루어진 경우 패치만으로는 이전 침해의 흔적을 반드시 해결할 수 없다는 점도 보여준다. 영향을 받은 기관은 해당 버전 경로에 따라 업데이트를 적용하고 자체 호스팅 장치를 점검해야 하며, 10월 8일 이전에 악용된 모든 장치는 연구원들이 관찰한 침해 기법에 근거해 포렌식 조사와 신뢰 회복이 필요한 대상으로 간주해야 한다.
Armory Castle은 SaaS 공급업체, 기술 기업, 정부 기관, 법률 서비스 및 비즈니스 서비스 제공업체를 표적으로 삼는 것으로 알려져 있다. 또한 Citrix NetScaler, Ivanti Connect Secure 및 Dell RecoverPoint for Virtual Machines의 제로데이 취약점을 악용한 정황이 과거에 관찰된 바 있어, 엣지 장치와 원격 관리 장치가 이 그룹의 지속적인 관심 대상임을 보여준다.