CVSS 점수 9.8점에 달할 정도로 치명적... 7월 28일 패치 완료
인증 우회 취약점 CVE-2026-59309도 함께 악용... 중국 APT 그룹 소행 추정

[보안뉴스 한세희 기자] 중국 정부와 연계된 것으로 추정되는 지능형 지속 위협(APT) 그룹이 최근 패치된 VMware vCenter의 보안 취약점을 악용해 바북(Babuk) 랜섬웨어 변종을 유포한 것으로 드러났다.


이번 공격은 브로드컴 VMware vCenter 서버의 심각한 디렉터리 순회(Directory-Traversal) 취약점인 CVE-2026-59310을 악용한 것으로, 해당 취약점은 CVSS 점수가 9.8점에 달할 정도로 치명적이다. 브로드컴은 지난 7월 29일, 취약점에 대한 패치를 배포한 상태다.

독일의 침해사고 대응 전문기업 QUIRSO에 따르면 이번 CVE-2026-59310 악용 캠페인의 경우 중국 연계 추정 해킹그룹으로 추정했다. QUIRSO는 △공격자가 생성한 스크립트 내 중국어 아티팩트의 결합 △중국 보안 출판물의 재사용 △중국어 도구 및 관리 소프트웨어의 반복적인 사용 △중국 본토를 제외한 피해 대상 설정 △중국어권 지역 표준시(UTC+08:00) 근무 시간과 일치하는 활동 패턴 등을 근거로 들고 있다.

해당 취약점에 대한 패치가 발표된 지 5일 만에 시작된 이번 공격 캠페인으로 47개국에 걸쳐 361개의 고유한 IP 주소가 피해를 입은 것으로 추정된다. 국가별로는 독일(55개), 미국(41개), 튀르키예(38개), 이란(26개), 프랑스(25개) 등에 집중됐다.

이번 공격에는 CVE-2026-59310뿐만 아니라 인증 우회 취약점인 CVE-2026-59309도 함께 악용된 것으로 알려졌다. 지난 8월 1일부터 CVE-2026-59309를 악용한 정황이 포착됐고, 이후 vCenter에 해킹그룹이 만든 관리자 계정이 생성됐다.

중국 연계 추정 해커그룹의 VMware vCenter 서버 침투 과정은 다음과 같다. 먼저 linuxFile 백도어를 설치하고 외부 C&C 서버와 연결해 지속성을 확보한 후, SSH 기반 원격 접속 채널을 확보하기 위해 공격자의 SSH 공개 키를 등록하거나 웹셸을 드롭해 계정 권한을 상승시켰다. 이러한 계정 생성 및 권한 상승 과정을 거친 후, 레지스트리 및 VMware Python 모듈을 탐색하여 vCenter 기기 계정의 자격 증명을 탈취했다. 마지막으로 ESXi 호스트에 로컬 계정을 생성한 후, 파일 확장자를 babyk으로 암호화하는 Babuk 변종 랜섬웨어를 최종 유포시켰다.

QUIRSO 연구진은 “CVE-2026-59310 취약점을 악용함으로써 공격자는 vCenter Server 어플라이언스에서 즉시 루트 권한으로 코드를 실행할 수 있었다”며, “이로 인해 하위 권한 계정을 침해해 권한을 상승시킬 필요 없이 곧바로 시스템에 대한 무제한 접근 권한을 가질 수 있었다”고 분석했다.

[한세희 기자(hahn@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>