메일함 대신 서버 노렸다... 짐브라 취약점 악용 공격, 인증 비밀값까지 털어

이메일·협업 솔루션 짐브라의 취약점(CVE-2026-73570)을 뚫은 공격자들이 메일 서버에 웹셸을 여러 개 심고 서버 전체의 인증 비밀값까지 빼냈다고 마이크로소프트가 밝혔다.

마이크로소프트 보안 연구팀의 분석으로는 피해 조직이 여러 지역과 업종에 걸쳐 있고, 모든 서버에서 공격 단계가 다 나타나지는 않았다. 공격 주체는 밝혀지지 않았다.

이 결함은 로그인 없이 운영체제 명령을 끼워 넣을 수 있어 심각도가 높은 취약점이다. 네트워크 관리 프로토콜(SNMP) 알림을 켜고 선택 패키지 zimbra-snmp를 설치한 서버에서 원격코드실행(RCE)으로 이어진다. 짐브라는 7월 10.1.20 버전으로 이를 고쳤다. 폴란드 컴퓨터비상대응팀(CERT)이 8월 처음 실제 악용을 알렸고, 미국 사이버보안·인프라보안청(CISA)은 연방기관에 8월 24일까지 조치하라고 지시했다.

7월 28일~8월 7일엔 서로 다른 스캐너 두 종이 먼저 명령 실행이 되는지만 떠봤다. 이후 공격자는 짐브라 서비스 계정으로 명령을 실행하고, 여러 애플리케이션 경로에 JSP 웹셸을 심어 하나가 지워져도 버틸 수 있게 했다. 웹셸은 공격자가 서버를 원격 조종하려고 심는 악성 스크립트다. 일부 사례에선 공개 디렉터리 쓰기 권한을 잠시 열어 웹셸을 심은 뒤 원래대로 돌려 간단한 권한 점검을 피했다.

공격자는 이어 sudo 설정 파일을 고쳐 짐브라 서비스 계정이 비밀번호 없이 무제한으로 관리자 권한을 쓰게 만들고, zimlog.service라는 시스템 서비스를 등록해 재부팅 뒤에도 살아남게 했다.

공격자는 개별 메일함 비밀번호를 노리지 않았다. 서버에서 짐브라가 한곳에 모아 둔 서비스 비밀값과 인증 비밀값을 뽑아내고, 이를 이용해 LDAP 조회로 사전 인증 키와 인증 토큰 키, 이중인증(2FA) 비밀값을 가져갔다. 짐브라가 원래 쓰던 SSH 키로 클러스터 안 다른 서버로 옮겨가며 웹셸도 퍼뜨렸다.

한 캠페인에선 원격 접속 도구 짐클라이언트2(Zimclient2)도 설치됐다. 대화형 셸과 파일 주고받기, SOCKS5 프록시 기능을 갖춰 감염 서버를 다른 망으로 넘어가는 발판으로 쓸 수 있다. 또 다른 악성 프로그램은 짐브라 설정 파일에서 계정 정보를 꺼내 MySQL과 LDAP에 접속한 뒤 메일함 관련 테이블을 통째로 내보내도록 만들어져 있었다.

한 서버에선 메일함 백업을 압축한 뒤 애즈카피(AzCopy)를 다운로드해 애저 블롭 저장소로 보내려 했다. 다만 마이크로소프트는 전송이 끝났는지는 증거로 확인되지 않는다고 밝혔다.

관리자는 즉시 업데이트해야 한다. 패치가 어렵다면 zimbra-snmp 패키지를 지우고 SNMP 알림을 끄며, SNMP와 SMTP 접근을 신뢰하는 호스트로만 제한해야 한다. 짐브라 인증 비밀값을 교체하고 서버에 남은 웹셸도 샅샅이 찾아야 한다.