정체불명의 공격자들이 Citrix NetScaler ADC와 NetScaler Gateway 장비의 최근 패치된 취약점(CVE-2026-88772 등)을 악용해 북미와 유럽의 정부, 금융, 기술, 교육, 법률 기업들을 공격했습니다. 이 취약점은 인증을 우회하고 시스템 최고 권한(root)을 탈취할 수 있는 심각한 결함으로, 공격자들은 이를 통해 WHIPSHOT이라는 웹셸과 SLAPSHOT이라는 내부망 침투 도구를 심었습니다. 공격자는 정상 파일처럼 위장한 악성 파일을 몰래 설치해 시스템을 계속 장악하고, 흔적을 지우면서 내부 정찰과 계정정보 탈취를 시도했습니다. 보안 업체들은 9월 28일부터 이 취약점을 노린 공격이 대규모로 확산되고 있다고 경고했습니다. 인터넷에 노출된 네트워크 장비들은 보안 탐지 도구가 닿기 어려운 곳이라 공격자들이 계속 노리는 표적이 되고 있습니다.
공격자들이 Citrix NetScaler ADC/Gateway의 취약점(CVE-2026-88772, CVE-2026-88771)을 악용해 인증을 우회하고 root 권한을 탈취한 뒤, WHIPSHOT 웹셸과 SLAPSHOT 터널링 도구를 설치했다.
정부, 금융, 기술, 교육, 법률 서비스 등 북미·유럽 다수 조직이 표적이 되었으며, 공격자는 내부망 정찰과 계정정보 탈취까지 수행했다.
NSPPE 컴포넌트의 DTLS 프로토콜 처리 과정에서 발생하는 메모리 오버플로우 취약점(CVSS 9.5)으로, 조작된 DTLS 레코드로 힙 메모리 손상을 일으켜 임의 코드를 root 권한으로 실행할 수 있다.
Citrix는 해당 취약점에 대한 패치를 배포했으며, 두 CVE 모두 CISA KEV(실제 악용 확인 목록)에 등재되었다. 보안 업체들은 9월 28일부터 대규모 악용 정황을 관측하고 있어 신속한 패치 적용과 침해 여부 점검이 필요하다.
인터넷에 노출된 VPN·ADC·방화벽 같은 경계 장비는 EDR(엔드포인트 탐지·대응) 도구의 사각지대에 있으면서 자격증명을 다루는 경우가 많아 우선적인 점검 대상이 되어야 한다.
본문
정체불명의 위협 행위자들이 Citrix NetScaler ADC 및 NetScaler Gateway 장비에서 최근 패치된 보안 취약점을 악용해 북미와 유럽의 조직들을 표적으로 삼은 정황이 관측되었다.
Mandiant Consulting과 Google Threat Intelligence Group(GTIG)이 2026년 9월에 관측한 이 활동은 정부, 금융 서비스, 기술, 교육, 법률·전문 서비스 부문을 표적으로 했다.
"CVE-2026-88772 악용은 인증을 우회하고 NetScaler 패킷 처리 엔진(NSPPE)의 비정상 종료를 유발해 root 수준의 초기 접근 권한을 확보합니다"라고 이 기술 대기업은 밝혔다.
이번 공격은 이 취약점을 무기화해 사후 공격용 툴킷을 배포하는 데 활용되었으며, 여기에는 WHIPSHOT과 같이 이전에 보고된 바 없는 PHP 웹셸이 포함되어 있다. WHIPSHOT은 Base64로 인코딩된 명령·제어(C2) 페이로드를 네이티브 HTTP 헤더 안에 숨기는 기능을 갖고 있다.
또한 SLAPSHOT이라는 이름의 새로운 동반 파이썬 터널링 도구도 사용되었는데, 이는 트래픽을 내부 네트워크로 프록시해 정찰 및 자격증명 탈취를 수행하도록 설계되었다. Google이 관측한 최소 한 건의 사례에서 위협 행위자는 이 프록시를 통해 트래픽을 중계해 내부 정찰과 자격증명 탈취를 수동으로 수행한 것으로 알려졌다.
watchTowr Labs가 상세히 설명한 바에 따르면, CVE-2026-88772(CVSS 점수 9.5)는 NSPPE 컴포넌트의 데이터그램 전송 계층 보안(DTLS) 프로토콜 처리 과정에서 발생하는 메모리 오버플로우 버그다.
"초기 인증 전 암호화 핸드셰이크 과정에서 NSPPE는 인바운드 DTLS 레코드 구조를 파싱합니다"라고 Google은 밝혔다. "프론트라인 텔레메트리 분석에 따르면, 특별히 조작되거나 조각화된 레코드 헤더를 전송하면 패킷 엔진 내부에서 힙 메모리 경계 손상이 유발되어, 제어 흐름이 전환되면서 기반 FreeBSD 플랫폼에서 root 수준의 운영체제 권한으로 임의의 셸코드가 실행됩니다."
취약점 악용에 성공하면 대상 httpd.conf 파일을 수정해 Debian 소프트웨어 패키지 형식(.deb) 파일을 PHP 스크립트로 처리하도록 만드는 방식으로 웹셸 페이로드가 자동 설치되며, 이는 WHIPSHOT과 SLAPSHOT 배포로 이어지는 길을 연다. 이는 초기 인스톨러를 통해 이루어진다.
이러한 설정 변경으로 공격자는 "/netscaler/gui/vpn/scripts/linux"에 위장된 파일 확장자를 가진 웹셸을 배치할 수 있었다고 Google의 사이버보안 부서는 덧붙였다.
다른 경우에는 위협 행위자가 은밀한 설정 훅(hook)을 구현해 웹셸 실행을 이미지 요청으로 위장하고, mod_php 엔진을 활성화한 뒤 시그니처(.sig) 파일을 실행 가능한 PHP 스크립트로 등록한 정황도 관측되었다.
이 설정은 또한 "/vpn/media/" 하위에서 ".ico"로 끝나는 수신 HTTP 요청을, "/var/netscaler/gui/vpn/scripts/linux/" 내부의 동일한 기본 이름을 가진 ".sig" 파일로 직접 매핑한다.
"예를 들어 /vpn/media/e6ee7c85.ico에 접근하는 클라이언트는 배포된 PHP 웹셸 e6ee7c85.sig가 응답하게 됩니다"라고 Google은 밝혔다. "최소 한 건의 사례에서 웹 서버 접속 로그는 HTTP 404 응답을 반환했지만, 처리 시간이 길고 응답 크기가 수 킬로바이트에 달하는 특징을 보였습니다."
"이후 며칠 동안 해당 행위자는 존재하지 않는 .sig 파일에 접근을 시도했고, 이는 httperror-vpn 로그에서 파일 없음 오류를 발생시켜 해당 파일들이 존재하지 않았음을 시사합니다. 이는 공격자가 여러 침해된 환경에서 유사한 웹셸을 관리하고 있음을 나타낼 수 있습니다."
이후 공격 체인은 인스톨러 웹셸을 활용해 "/bin/sh"의 권한을 변경한 다음, NetScaler 장비 전체를 재부팅하는 방식으로 웹셸의 지속적인 root 수준 실행 권한을 확립하는 단계로 진행된다.
.deb 및 .sig 파일로 위장한 경량 PHP 웹셸은 직접적인 명령 실행과 자동화된 장비 지속성 확보 기능을 제공한다. 그중 하나인 WHIPSHOT은 HTTP 헤더에서 Base64로 인코딩된 명령과 페이로드를 추출해 실행하고 결과를 반환한다.
파이썬으로 작성된 TCP 터널링 도구인 SLAPSHOT은 내부 네트워크 브리지 역할을 하며, WHIPSHOT으로부터 명령을 받아 임의의 TCP 스트림을 내부 호스트로 전달해 내부 정찰, 측면 이동, 자격증명 수집을 지원하는 것을 목표로 한다.
10분 동안 활성 세션이나 명령이 수신되지 않으면 이 악성코드는 자신의 포트 및 잠금 파일을 제거하고 프로세스를 종료해 흔적을 지우고 포렌식 증거를 최소화한다.
"이번 캠페인은 피해 네트워크에 초기 접근 권한을 확보하기 위해 엣지 장비를 지속적으로 표적으로 삼는 흐름을 보여줍니다"라고 Google은 밝혔다. "애플리케이션 딜리버리 컨트롤러, VPN 게이트웨이, 방화벽을 포함한 이러한 장비들은 인터넷에 노출되어 있고, 엔드포인트 탐지·대응(EDR) 도구의 범위 밖에 있으며, 네트워크 깊숙이 이동하는 데 사용될 수 있는 자격증명을 저장하거나 처리하는 경우가 많기 때문에 여전히 매력적인 표적으로 남아 있습니다."
이러한 상황은 GreyNoise가 CVE-2026-88771 및 CVE-2026-88772 악용과 관련된 추가적인 악성 사이버 활동을 2026년 9월 28일 동부 표준시 오전 8시 30분경부터 관측하기 시작했으며, 같은 날 오후 10시 30분경 큰 폭의 급증이 뒤따랐다고 밝힌 가운데 나온 것이다.
"어제 대규모 정찰로 시작된 것이 오늘은 다수의 독립적인 행위자와 캠페인에 걸친 전면적인 대규모 악용으로 발전했습니다"라고 GreyNoise 팀은 The Hacker News에 전했다. "우리는 봇넷 모집과 접근 권한 중개를 주된 목적으로 하는 광범위한 웹셸 및 악성코드 배포를 관측하고 있습니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
