공격 및 악성코드 세부 정보
시스코(Cisco Talos)의 연구에 따르면, UAT-11473으로 알려진 지능형 지속 위협(APT) 그룹이 Cisco Catalyst SD-WAN 제어기의 심각한 보안 취약점인 CVE-2026-20127을 악용하고 있는 활동이 포착되었습니다. 최고 위험 등급으로 분류된 이 취약점은 공격자가 인증을 우회하고 특권 액세스 권한을 획득하여 네트워크에 승인되지 않은 장비를 추가할 수 있도록 허용합니다.
공격자들은 SD-WAN 제어 환경 내에서 작동하도록 특별히 설계된 KeyDrift라는 맞춤형 소프트웨어 프레임워크를 사용합니다. 이 프레임워크는 명령어 실행과 통신 제어를 담당하는 PolyFlame과 암호화된 트래픽을 가로채고 민감한 암호화 키(예: AES-256 IPsec 키)를 추출하는 LittleFilch라는 두 가지 주요 구성 요소로 이루어져 있습니다.
이 뉴스가 중요한 이유
이 공격의 심각성은 우주 및 위성 서비스, 국방 및 항공우주 기술, 정치 연구 기관과 같은 민감한 부문을 겨냥한 표적의 성격에 있습니다. KeyDrift가 SD-WAN 제어 작업 내에서 작동하는 능력은 공격자들에게 장기적이고 지속적인 접근 권한을 부여하며, 민감한 데이터를 자동으로 암호화하여 추출할 수 있게 함으로써 침해 사실을 감지하기 매우 어렵게 만듭니다.
추산에 따르면 UAT-11473 그룹과 Volt Typhoon 그룹과 연관된 'Silent Train'으로 알려진 비밀 접근 네트워크 간에 잠재적인 연관성이 있으며, 이는 글로벌 네트워크 인프라를 겨냥한 지속적인 공격에 대한 우려를 증폭시킵니다.
관리자들이 취해야 할 조치
시스코는 시스템 관리자들에게 네트워크를 보호하기 위한 즉각적인 조치를 취할 것을 명확히 경고했습니다.
- CVE-2026-20127 취약점에 대한 사용 가능한 보안 업데이트를 긴급히 적용합니다.
- 회사가 제공하는 Catalyst SD-WAN 제품용 시스템 강화 가이드(Hardening Guide)를 검토하고 따릅니다.
- 제어기 내의 비정상적인 작업, 특히 시스템 파일이나 코드 주입과 관련된 작업을 모니터링합니다.
이번 사건은 초기 침해 후 유효한 접근 권한에 의존하는 것이 여전히 전통적인 방어 도구에 큰 과제로 남아 있으므로, 네트워크 인프라를 주기적으로 업데이트하는 것이 중요함을 강조합니다.