중국 해커, 다수 기술 취약점 연쇄 악용해 정부 데이터 탈취

한 줄 요약

중국어권 위협 행위자(Red Heron 그룹 연관)가 2026년 6월부터 WordPress, ZyXEL GS1900 스마트 스위치, Ubiquiti UniFi OS 등 여러 제품의 취약점을 연쇄적으로 악용해 29개국 49개 이상 기관을 침해했습니다. 한 서방 정부 기관에서는 SQL 데이터베이스에 침투해 정부·법집행 기관과 연관된 계정 정보, 평문 비밀번호, 개인식별정보(PII) 18,566건을 탈취했습니다. ZyXEL 스위치 취약점(CVE-2026-7273)만으로도 48개국 996개 장치가 피해를 입었으며, Ubiquiti UniFi OS 취약점 3종은 루트 권한 원격 코드 실행(RCE)에 체인 형태로 활용됐습니다. 이번에 악용된 취약점 다수가 CISA의 실제 악용 확인 목록(KEV)에 등재돼 있어 즉각적인 패치 적용이 필요합니다. GreyNoise가 침해지표(IoC)를 공개했으므로 이를 활용한 탐지·차단 조치도 권고됩니다.

사건

Red Heron 그룹과 연관된 중국어권 위협 행위자가 2026년 6월부터 WordPress Core(CVE-2026-63030, CVE-2026-60137), ZyXEL GS1900(CVE-2026-7273), Ubiquiti UniFi OS(CVE-2026-34908/34909/34910), Gitea(CVE-2026-60004) 등 다수 제품의 취약점을 동일 IP에서 연속 악용하는 캠페인을 전개했다.

영향

29개국 49개 이상 조직 침해, 정부·법집행 기관 PII 및 평문 비밀번호 포함 18,566건 탈취, 48개국 996개 ZyXEL 장치에서 설정·자격증명 유출, Ubiquiti 장치 루트 권한 RCE 시도.

원인

KEV에 등재된 다수의 알려진 취약점이 패치되지 않은 상태로 운영됐으며, 공개 익스플로잇 출시 직후 수일 내에 실제 공격에 활용됐다.

대응

GreyNoise가 백도어 해시·C2 인프라를 포함한 IoC를 공개했고, CISA는 Ubiquiti 취약점 3종을 KEV에 등재해 긴급 패치를 권고 중이다.

실무 포인트

KEV 등재 취약점(Ubiquiti UniFi OS, ZyXEL GS1900, WordPress Core, Gitea)은 즉시 패치해야 하며, GreyNoise IoC를 방화벽·SIEM에 적용하고, AMSI·Defender·로컬 계정·DB 자격증명 설정 상태를 재점검해야 한다.

본문

중국어권 위협 행위자가 ZyXEL GS1900 Smart Managed 스위치와 WordPress의 취약점을 악용해 996개 장치와 백엔드 데이터베이스에 저장된 18,500건 이상의 레코드에서 민감 데이터를 탈취했다.

공격자는 PAN-OS Global Protect, FlowiseAI, Nuclio, Proxmox, Ubiquity 등 여러 기술을 대상으로 알려진 보안 취약점에 대한 익스플로잇을 활용했다.

이 공격자에게 귀속된 스캔 및 공격은 동일한 IP 주소에서 발생하며 2026년 6월 초부터 기록됐고, Gitea 자체 호스팅 Git 서비스의 치명적 결함을 악용한 것으로 알려진 Red Heron 그룹과 연관된 위협 행위자로 분석됐다.

이 활동은 위협 인텔리전스 기업 GreyNoise가 Global Observation Grid(GOG) 센서 네트워크를 통해 탐지했다.

연구진에 따르면 위협 행위자는 WordPress Core 컴포넌트의 wp2shell 취약점(CVE-2026-63030 및 CVE-2026-60137)을 활용해 29개국 최소 49개 조직을 침해했다.

wp2shell 공개 익스플로잇은 7월 중순에 등장했으며, 며칠 후 실제 악용이 관측됐다. GreyNoise가 관찰한 캠페인은 비슷한 시기에 시작돼 고가치 표적을 겨냥했다.

표적 중 다수는 중소기업과 정부 부문이었으나, 신원 미공개 서방 정부 기관에서 발생한 침해 사례가 특히 눈에 띈다.

공격자는 커스텀 wp2shell 익스플로잇을 사용하고 Windows 및 보안 정찰을 광범위하게 수행하며 Microsoft Defender, AMSI, 가용 서비스, 수신 대기 포트, 로컬 계정, 애플리케이션 제한, 데이터베이스 설정을 확인했다.

36분에 걸쳐 위협 행위자는 AMSI 우회, 토큰 가장 또는 탈취를 통한 권한 상승, 로컬 관리자 계정 생성, 레지스트리 데이터 추출을 시도하는 스크립트 17개를 실행했다고 GreyNoise는 밝혔다.

백엔드 SQL 데이터베이스 자격증명을 확보한 공격자는 이를 패스워드 스프레이 공격에 활용해 내부 SQL 서버에 접근했고, 최소 18,566건의 레코드를 탈취했다.

연구진에 따르면 해당 데이터에는 정부 및 법집행 기관과 연관된 계정, 평문 비밀번호, 개인식별정보(PII)가 포함돼 있었다.

wp2shell 공격 타임라인

출처: GreyNoise

같은 공격자가 러시아 점령지 우크라이나의 러시아 국가 기관도 침해했으며, 연구진은 이를 "레드온레드(red-on-red)" 침해라고 묘사했다.

다중 취약점 연쇄 악용

8월 17일, 위협 행위자는 ZyXEL GS1900 Smart Managed 스위치의 고위험도 취약점(CVE-2026-7273)을 악용하기 시작해 48개국 996개 장치를 침해하고 장치 설정, 네트워크 정보, 해시된 루트 수준 자격증명을 추출했다.

악용 활동 타임라인

출처: GreyNoise

또한 해커들은 CVE-2026-34908, CVE-2026-34909, CVE-2026-34910으로 추적되는 Ubiquiti UniFi OS 취약점들을 체인 형태로 연결해 루트 수준의 원격 코드 실행(RCE)을 획득하려 시도했다.

CISA는 해당 Ubiquiti 취약점 3종을 2026년 6월 말부터 실제 악용 중인 것으로 지정했다.

GreyNoise는 PAN-OS GlobalProtect, FlowiseAI(CVE-2026-56271), Linux 커널의 Dirty Pipe 취약점(CVE-2022-0847), Gitea(CVE-2026-60004), Nuclio(CVE-2026-79756), SENAITE LIMS(CVE-2026-54569), Proxmox VE(CVE-2023-54391)에 대한 표적 공격도 확인했다.

연구진은 이 위협 클러스터와 연관된 공격에 활용된 보안 취약점 중 일부는 CISA의 KEV(Known Exploited Vulnerabilities) 목록에 아직 추가되지 않았음을 강조했다.

GreyNoise는 관찰된 활동과 연관된 침해지표(IoC) 세트를 제공했으며, 여기에는 백도어 해시와 C&C(명령 및 제어) 인프라 정보가 포함된다.