제로클릭으로 이메일과 2FA 코드를 탈취한다: 러시아 해킹 그룹 'LAUNDRY BEAR'의 짐브라 제로데이 익스플로잇

2026년 7월 23일, 미국 국가안보국(NSA), 연방수사국(FBI), 사이버보안 및 인프라 보안국(CISA)과 16개국 국제 파트너 기관이 합동 사이버보안 권고문(제목: 'Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite', TLP:CLEAR, Ver 1.0)을 발표했습니다 . 이 권고문에는 미국, 네덜란드, 호주, 캐나다, 뉴질랜드, 영국, 체코, 덴마크, 에스토니아, 핀란드, 프랑스, 이탈리아, 몰도바, 폴란드, 스페인, 스웨덴 등 16개국의 기관이 서명했습니다 .

위협 그룹: LAUNDRY BEAR

러시아 정부의 지원을 받는 이 APT 그룹은 LAUNDRY BEAR로 추적되며, 이 이름은 네덜란드 정보안보국(AIVD)과 군사정보안보국(MIVD)이 처음 사용한 명칭입니다 . 해당 위협 활동은 최소 2025년 7월부터 지속되고 있습니다 . 이 그룹의 표적 공격은 러시아 연방을 위한 첩보 활동으로 평가되며, '우크라이나를 대상으로 한 광범위한 공격을 먼저 수행한 후, 이를 시험장(testbench)으로 삼아 악성 사이버 기술을 전 세계로 확장하기 전에 미국 및 기타 나토 동맹국을 공격'한 것으로 분석됐습니다 . 피해를 입은 분야는 국방, 교육, 에너지, 법 집행, 미디어, 금융, 교통, 기술 등입니다 .

취약점: CVE-2025-66376

CVE-2025-66376은 짐브라 협업 제품군(ZCS) 클래식 UI의 저장형 XSS(Cross-Site Scripting) 취약점으로, HTML 이메일 메시지 내 CSS @import 지시문을 악용해 발생합니다 . 영향을 받는 버전은 ZCS 10.0.x 10.0.18 미만, 10.1.x 10.1.13 미만입니다 . 짐브라는 2025년 11월에 이 취약점을 패치했습니다 . CVSS 점수는 일부 소스에서 7.2(높음) , 다른 소스에서 6.1(중간) 으로 보고됐습니다. CISA는 2026년 3월 이 취약점을 '알려진 악용 취약점(KEV) 카탈로그'에 추가했습니다 .

제로클릭 익스플로잇 메커니즘

이것은 제로클릭(또는 '보기 기반') 익스플로잇입니다. 사용자는 악성 이메일을 열어서(보기만 해도) 추가 클릭이나 첨부 파일 열기 등의 상호작용 없이 감염됩니다 . 실행되면 저장형 XSS를 통해 사용자 정의 자바스크립트 페이로드가 피해자의 브라우저로 전달됩니다 .

탈취되는 데이터

이 익스플로잇이 노리는 데이터는 다음과 같습니다 :

• 최근 90일 간의 이메일 통신 내역
• 조직 이메일 주소록(전체 주소록 / GAL)
• 계정 비밀번호(브라우저 자동완성 정보 수집을 통해)
• 2FA 복구 코드 및 새로 생성된 애플리케이션 비밀번호
• 검색 기록 및 세션 토큰

맞춤형 데이터 유출 도구: "beehive"

이 그룹의 맞춤형 데이터 유출 및 집계 기능은 'beehive'(벌집) 라고 불립니다 . 당국은 이 그룹이 이 기능을 다른 취약점을 악용하도록 개조 및 재사용할 가능성이 있다고 경고했습니다 . 권고문에는 HTTPS와 DNS 터널링( 'Ulej' 도구와 'Flowerbed' 서버 구성 요소 사용)을 모두 사용하는 다단계 유출 아키텍처가 상세히 설명되어 있으며, DNS 쿼리는 RFC 1035에 따라 구조화되고 base32로 인코딩된 페이로드를 사용합니다 .

조직을 위한 권장 조치

권고문은 조직에 다음을 촉구합니다 :

1. 짐브라 패치 — 즉시 ZCS 10.0.18 / 10.1.13 이상 버전으로 업데이트하십시오.
2. 침해 지표(IOC) 검토 — 권고문에 제공된 IOC를 검토하여 악용 여부를 탐지하십시오.
3. 의심스러운 인증 활동 모니터링 — 비정상적인 SOAP 요청, 새로운 애플리케이션 비밀번호 생성, DNS 유출 패턴 등을 모니터링하십시오.
4. 패치가 불가능할 경우 클래식 웹메일 클라이언트 사용 중지 (이 취약점의 영향을 받지 않는 모던 UI로 전환).
5. 네트워크 모니터링 및 MFA 검토 등 추가 완화 조치를 시행하십시오.

주요 주의사항

이 취약점은 패치가 배포되기 전까지 약 5개월간(2025년 7월~11월) 제로데이로 악용되었으며, 해당 그룹은 현재도 패치되지 않은 인스턴스를 대상으로 활발히 공격을 계속하고 있습니다 . 권고문은 이 활동이 '거의 확실하게' 러시아 정부가 지원하는 첩보 활동이며, 금전적 갈취 동기는 전혀 관찰되지 않았다고 평가했습니다 .