중국 연계 추정 해킹그룹, Babuk 랜섬웨어 변종 유포... VMware vCenter 취약점 악용

CVSS 점수 9.8점에 달할 정도로 치명적... 7월 28일 패치 완료
인증 우회 취약점 CVE-2026-59309도 함께 악용... 중국 APT 그룹 소행 추정

[보안뉴스 한세희 기자] 중국 정부와 연계된 것으로 추정되는 지능형 지속 위협(APT) 그룹이 최근 패치된 VMware vCenter의 보안 취약점을 악용해 바북(Babuk) 랜섬웨어 변종을 유포한 것으로 드러났다.

이번 공격은 브로드컴 VMware vCenter 서버의 심각한 디렉터리 순회(Directory-Traversal) 취약점인 CVE-2026-59310을 악용한 것으로, 해당 취약점은 CVSS 점수가 9.8점에 달할 정도로 치명적이다. 브로드컴은 지난 7월 29일, 취약점에 대한 패치를 배포한 상태다.

독일의 침해사고 대응 전문기업 QUIRSO에 따르면 이번 CVE-2026-59310 악용 캠페인의 경우 중국 연계 추정 해킹그룹으로 추정했다. QUIRSO는 △공격자가 생성한 스크립트 내 중국어 아티팩트의 결합 △중국 보안 출판물의 재사용 △중국어 도구 및 관리 소프트웨어의 반복적인 사용 △중국 본토를 제외한 피해 대상 설정 △중국어권 지역 표준시(UTC+08:00) 근무 시간과 일치하는 활동 패턴 등을 근거로 들고 있다.

해당 취약점에 대한 패치가 발표된 지 5일 만에 시작된 이번 공격 캠페인으로 47개국에 걸쳐 361개의 고유한 IP 주소가 피해를 입은 것으로 추정된다. 국가별로는 독일(55개), 미국(41개), 튀르키예(38개), 이란(26개), 프랑스(25개) 등에 집중됐다.

이번 공격에는 CVE-2026-59310뿐만 아니라 인증 우회 취약점인 CVE-2026-59309도 함께 악용된 것으로 알려졌다. 지난 8월 1일부터 CVE-2026-59309를 악용한 정황이 포착됐고, 이후 vCenter에 해킹그룹이 만든 관리자 계정이 생성됐다.

중국 연계 추정 해커그룹의 VMware vCenter 서버 침투 과정은 다음과 같다. 먼저 linuxFile 백도어를 설치하고 외부 C&C 서버와 연결해 지속성을 확보한 후, SSH 기반 원격 접속 채널을 확보하기 위해 공격자의 SSH 공개 키를 등록하거나 웹셸을 드롭해 계정 권한을 상승시켰다. 이러한 계정 생성 및 권한 상승 과정을 거친 후, 레지스트리 및 VMware Python 모듈을 탐색하여 vCenter 기기 계정의 자격 증명을 탈취했다. 마지막으로 ESXi 호스트에 로컬 계정을 생성한 후, 파일 확장자를 babyk으로 암호화하는 Babuk 변종 랜섬웨어를 최종 유포시켰다.

QUIRSO 연구진은 “CVE-2026-59310 취약점을 악용함으로써 공격자는 vCenter Server 어플라이언스에서 즉시 루트 권한으로 코드를 실행할 수 있었다”며, “이로 인해 하위 권한 계정을 침해해 권한을 상승시킬 필요 없이 곧바로 시스템에 대한 무제한 접근 권한을 가질 수 있었다”고 분석했다.

[한세희 기자(hahn@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다