중국 연계 추정 해킹그룹, Babuk 랜섬웨어 변종 유포... VMware vCenter 취약점 악용 작성일 08-17 34 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="K5rrWJWIOb"> <p contents-hash="8cf064180632f1fd05e3de53f0adfbb6bef4812a4c74dd548f637fccc560e4cc" dmcf-pid="91mmYiYCIB" dmcf-ptype="general"><strong>CVSS 점수 9.8점에 달할 정도로 치명적... 7월 28일 패치 완료<br>인증 우회 취약점 CVE-2026-59309도 함께 악용... 중국 APT 그룹 소행 추정</strong></p> <p contents-hash="927181bd344cd01dddf871eaee208623f1864a0f4a7d25533c3ad47b13c7741c" dmcf-pid="2tssGnGhmq" dmcf-ptype="general">[보안뉴스 한세희 기자] 중국 정부와 연계된 것으로 추정되는 지능형 지속 위협(APT) 그룹이 최근 패치된 VMware vCenter의 보안 취약점을 악용해 바북(Babuk) 랜섬웨어 변종을 유포한 것으로 드러났다. </p> <figure class="figure_frm origin_fig" contents-hash="28398255f9696b4c7623f4ae2813847abab79b44160e6fc580c7204857a9e379" dmcf-pid="VFOOHLHlDz" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/17/552815-KkymUii/20260817180412572rztl.jpg" data-org-width="1000" dmcf-mid="buSStjtWEK" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/17/552815-KkymUii/20260817180412572rztl.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [출처: Gettymagesbank] </figcaption> </figure> <div contents-hash="9d19f75d8a09a6924da09b2b8e51da767573bc0a16a17ff9a4f41ebe1a4bd49f" dmcf-pid="f3IIXoXSD7" dmcf-ptype="general"> <br>이번 공격은 브로드컴 VMware vCenter 서버의 심각한 디렉터리 순회(Directory-Traversal) 취약점인 CVE-2026-59310을 악용한 것으로, 해당 취약점은 CVSS 점수가 9.8점에 달할 정도로 치명적이다. 브로드컴은 지난 7월 29일, 취약점에 대한 패치를 배포한 상태다. </div> <p contents-hash="5bd7c44e57fc79b5c9f5e6cee12e9793b758c7522814f8ee6821cf9fb0dc4d93" dmcf-pid="40CCZgZvru" dmcf-ptype="general">독일의 침해사고 대응 전문기업 QUIRSO에 따르면 이번 CVE-2026-59310 악용 캠페인의 경우 중국 연계 추정 해킹그룹으로 추정했다. QUIRSO는 △공격자가 생성한 스크립트 내 중국어 아티팩트의 결합 △중국 보안 출판물의 재사용 △중국어 도구 및 관리 소프트웨어의 반복적인 사용 △중국 본토를 제외한 피해 대상 설정 △중국어권 지역 표준시(UTC+08:00) 근무 시간과 일치하는 활동 패턴 등을 근거로 들고 있다. </p> <p contents-hash="e63c1103ad1cb40d7ebbb35f6f119176264745ac892e16407e8443cf18d04a46" dmcf-pid="8phh5a5TDU" dmcf-ptype="general">해당 취약점에 대한 패치가 발표된 지 5일 만에 시작된 이번 공격 캠페인으로 47개국에 걸쳐 361개의 고유한 IP 주소가 피해를 입은 것으로 추정된다. 국가별로는 독일(55개), 미국(41개), 튀르키예(38개), 이란(26개), 프랑스(25개) 등에 집중됐다.</p> <p contents-hash="114382ea6edd9df86f5bf369248be1f081dc0301e9f02cc192aa97a6d811e7e3" dmcf-pid="6Ull1N1yOp" dmcf-ptype="general">이번 공격에는 CVE-2026-59310뿐만 아니라 인증 우회 취약점인 CVE-2026-59309도 함께 악용된 것으로 알려졌다. 지난 8월 1일부터 CVE-2026-59309를 악용한 정황이 포착됐고, 이후 vCenter에 해킹그룹이 만든 관리자 계정이 생성됐다.</p> <p contents-hash="f2fb6366a5890fceda891bbcb9101c5599d864d16a9fad76be1e7a20f2c035e9" dmcf-pid="PEQQauaer0" dmcf-ptype="general">중국 연계 추정 해커그룹의 VMware vCenter 서버 침투 과정은 다음과 같다. 먼저 linuxFile 백도어를 설치하고 외부 C&C 서버와 연결해 지속성을 확보한 후, SSH 기반 원격 접속 채널을 확보하기 위해 공격자의 SSH 공개 키를 등록하거나 웹셸을 드롭해 계정 권한을 상승시켰다. 이러한 계정 생성 및 권한 상승 과정을 거친 후, 레지스트리 및 VMware Python 모듈을 탐색하여 vCenter 기기 계정의 자격 증명을 탈취했다. 마지막으로 ESXi 호스트에 로컬 계정을 생성한 후, 파일 확장자를 babyk으로 암호화하는 Babuk 변종 랜섬웨어를 최종 유포시켰다. </p> <p contents-hash="378ac1bd925946e2612b7891d1cbc241cae9be7bdd1d565bc7728e32a6ee2da6" dmcf-pid="QDxxN7Ndr3" dmcf-ptype="general">QUIRSO 연구진은 “CVE-2026-59310 취약점을 악용함으로써 공격자는 vCenter Server 어플라이언스에서 즉시 루트 권한으로 코드를 실행할 수 있었다”며, “이로 인해 하위 권한 계정을 침해해 권한을 상승시킬 필요 없이 곧바로 시스템에 대한 무제한 접근 권한을 가질 수 있었다”고 분석했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 디즈니, 젊은 팬 찾아 게임·틱톡으로 확장...“새 세대에 이야기 이어지도록” 08-17 다음 K-AI 성공의 열쇠 '시장'… 수요 이끌어낼 정책 세워야 08-17 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
