VMware vCenter CVE-2026-59310 공격, 47개국 361개 IP로 확산

Broadcom은 수정 버전을 제공했지만 별도의 우회책은 제시하지 않았다. 따라서 취약한 시스템에 대한 공식 대응책은 공급업체가 지정한 업데이트를 적용하는 것이다.

패치 공개 5일 뒤 시작된 공격

Broadcom은 7월 29일 CVE-2026-59310을 공개하고 패치를 배포했다. 독일 보안업체 QUIRSO는 8월 3일부터 해당 취약점이 실제 공격에 사용된 정황을 보고했으며, 이후 캠페인이 빠르게 확산됐다고 밝혔다.

이 시간 간격은 사고 대응에서 특히 중요하다. 8월 3일 이후 패치를 적용한 시스템이라면 업데이트가 성공했다는 이유만으로 깨끗하다고 판단해서는 안 된다. 취약점 제거와 침해 여부 확인은 별개의 작업이기 때문이다. 관리자는 우선 취약점을 패치한 뒤, 공격자가 이미 접근 권한과 지속성 수단을 확보했는지 조사해야 한다.

47개국 361개 IP…숫자를 해석할 때 주의할 점

연구진은 이번 활동과 관련된 피해 관측 IP 361개를 47개국에서 확인했다. 독일, 미국, 튀르키예, 이란, 프랑스가 관측 집합의 절반 이상을 차지한 것으로 보고됐다.

다만 IP 주소 하나가 곧 하나의 기업이나 기관을 의미하는 것은 아니다. 따라서 ‘361개 피해 기업’이라고 단정할 수는 없다. 그럼에도 공개된 자료는 인터넷에 직접 노출됐거나 광범위한 내부 네트워크에서 접근 가능한 vCenter 시스템을 겨냥한 공격이 여러 지역으로 확산됐음을 보여준다.

중국 연계 의혹은 어디까지 확인됐나

QUIRSO는 이번 캠페인의 중국 연계 가능성을 ‘중간 수준의 신뢰도’로 평가했다. 근거로는 중국어로 된 흔적, 중국어권 도구와 공개 연구의 재사용, UTC+08:00 시간대의 업무 시간과 일치하는 활동, 중국 본토를 제외하는 듯한 피해자 분포 등이 거론됐다.

그러나 이러한 단서만으로 특정 중국 국가 지원 조직을 식별하거나 중국 정부의 지시를 입증할 수는 없다. 악성코드의 흔적, 활동 시간대, 표적 분포에 기반한 공격자 추정은 추가 증거가 나오면 바뀔 수 있다. 현재 가장 신중한 표현은 ‘중국 연계가 의심되는 공격자’이지, 확인된 국가 지원 작전이라는 표현은 아니다.

관측된 침해 흐름

공격은 CVE-2026-59310을 초기 실행 경로로 활용한 뒤, 여러 단계의 지속성과 원격 접근 수단을 설치한 것으로 보인다.

1. 디렉터리 탐색 악용: 공격자가 조작한 요청으로 Syslog 서비스의 지정 경로를 벗어나 공격자 제어 콘텐츠를 기록했다.
2. 크론 기반 지속성 확보: 변형된 크론 항목을 만들어 예약 작업으로 후속 명령을 실행한 것으로 보고됐다.
3. 백도어 전달: curl 또는 wget으로 WebSocket 통신과 XOR 난독화를 사용하는 linuxFile 백도어를 내려받았다.
4. 리버스 SSH 설치: 공격자 인프라로 나가는 연결을 만들어 지속적인 원격 접근을 확보했다. Shadowserver는 자체 특별 보고서에서 이 지속성 수단이 확인된 모든 피해 시스템에 배포된 것으로 보인다고 밝혔다.
5. 계정과 자격 증명 악용: 무단 vCenter 및 ESXi 관리자 계정이 생성됐고, VMware Directory Service 자격 증명이 악용된 정황이 보고됐다.
6. 랜섬웨어 배포: 일부 보고는 .babyk 확장자를 추가하는 Babuk 계열 랜섬웨어 변종과 이 활동을 연결했다.

이 가운데 가장 중요한 단서는 리버스 SSH다. Shadowserver의 판단에 따르면 이 수단이 설치된 시스템은 단순히 ‘패치가 필요한 시스템’이 아니라 완전히 침해된 시스템으로 취급해야 한다. 파일 하나를 삭제하거나 크론 작업 하나를 제거하는 것만으로는 충분하지 않다. 해당 어플라이언스에 대한 신뢰를 다시 구축하고 관리자급 자격 증명도 교체해야 한다.

랜섬웨어가 포렌식 방해 수단이었을 가능성

보고된 .babyk 활동은 광범위한 파일 암호화와 금전 갈취를 주목적으로 하는 전형적인 랜섬웨어 작전과 다를 수 있다. 분석가들은 ESXi 로그를 선택적으로 암호화한 행위가 조사를 방해하고 침해 흔적을 숨기기 위한 목적이었을 가능성을 제기했다.

다만 이는 공격자의 의도가 공식적으로 확인된 사실이 아니라 분석에 기반한 추정이다. 방어팀은 가상머신에 대한 랜섬웨어 피해와 로그 변조를 통한 포렌식 방해 가능성을 모두 조사해야 한다.

리버스 SSH를 ‘임시 파일 정리 도구’로 위장한 GitHub 저장소

관련 보고서는 8월 14일 공격에 사용된 것으로 추정되는 GitHub 저장소와도 연결된다. 해당 저장소는 리버스 SSH 바이너리를 리눅스 임시 파일 정리 유틸리티인 것처럼 소개한 것으로 전해졌다. 지속성 도구를 관리·정리 프로그램으로 위장하면 배포가 쉬워지고 일상적인 시스템 점검에서 눈에 덜 띌 수 있다.

다만 공개된 자료만으로는 해당 저장소를 누가 운영했는지 독립적으로 확인되지 않았다. 따라서 저장소의 존재 자체를 공격자 귀속의 증거로 간주해서는 안 된다.

Broadcom 주가와 VMware 사업에 미친 영향

활발한 VMware 취약점 악용 소식이 투자자들에게 전해진 8월 14일, Broadcom 주가는 약 5~6% 하락했다. 한 보도는 주가가 해당 거래일에 417.82달러에서 392.99달러로 떨어졌다고 전했다.

그러나 이 하락폭 전체 또는 정확한 시가총액 감소분을 CVE-2026-59310 하나의 영향으로 돌리는 것은 적절하지 않다. 당시 시장 보도에는 인공지능 관련 부채 노출 등 다른 투자자 우려도 함께 언급됐다.

현재 공개된 자료만으로는 이번 사건이 VMware 매출을 측정 가능한 수준으로 감소시켰다고 결론 내리기 어렵다. 단기적으로 더 근거가 있는 사업 영향은 고객사의 패치·조사 비용, 운영 중단 위험, 평판 압박이다. 장기적인 매출 영향은 향후 회사 공시나 추가적인 재무 자료가 있어야 판단할 수 있다.

vCenter 관리자가 지금 해야 할 일

패치는 첫 단계일 뿐 마지막 단계가 아니다. 조직은 다음 조치를 수행해야 한다.

1. Broadcom의 수정 버전을 즉시 적용한다. 영향을 받는 모든 vCenter 인스턴스를 대상으로 하되, 인터넷에 노출됐거나 광범위한 내부 네트워크에서 접근 가능한 시스템을 우선한다. Broadcom은 우회책을 제공하지 않았다.
2. 침해 지표가 있으면 침해된 것으로 간주한다. 예기치 않은 크론 변경, 리버스 SSH 흔적, linuxFile, 설명되지 않는 curl·wget 다운로드, 낯선 vCenter·ESXi 관리자 계정, 비정상적인 VMware Directory Service 활동 등을 확인한다.
3. 의심스러운 어플라이언스를 격리한다. 운영상 가능하다면 재구축 전에 디스크 이미지, 로그, 휘발성 증거를 보존한다.
4. 권한이 높은 자격 증명을 교체한다. vCenter SSO, VMware Directory Service, ESXi·root 계정, API와 서비스 계정, 연결된 관리자 계정의 자격 증명을 바꾸고 활성 세션을 무효화한다. 연동·페더레이션 경로도 검토한다.
5. 확인된 지속성 시스템은 단순 정리보다 재구축을 우선한다. 무단 계정, 크론 작업, 바이너리, SSH 키, 터널을 제거하되 문서화된 사고 대응 절차 안에서 수행해야 한다.
6. 가상화 인프라 전반을 위협 헌팅한다. .babyk 활동, 비정상적인 외부 SSH·WebSocket 연결, 불법 계정, ESXi 로그 변조 흔적을 찾는다.
7. 신뢰할 수 있는 데이터와 모니터링을 복구한다. 로그나 구성이 변조됐다면 검증된 불변 백업에서 복원한다.
8. 향후 노출을 줄인다. vCenter 관리 접근을 분리된 전용 관리 네트워크로 제한하고, vCenter와 ESXi 호스트에서 나가는 외부 연결을 모니터링한다.

운영상 결론은 분명하다. 취약한 vCenter 시스템은 모두 업데이트해야 하지만, 패치가 성공했다고 해서 환경이 깨끗해진 것은 아니다. 빠른 악용, 리버스 SSH를 통한 지속성, 관리자 자격 증명 악용이 함께 보고된 만큼, 노출된 어플라이언스는 잠재적인 완전 침해 대상으로 조사해야 한다.