중국어 사용자로 추정되는 해킹 그룹이 파일 공유 소프트웨어 ownCloud의 심각한 보안 결함(CVE-2023-49105)을 악용해 필리핀 핵 연구기관에서 핵물질 기록, 전략 계획, 직원 개인정보 등 민감한 파일 176개(약 372MB)를 탈취했습니다. 이 취약점은 로그인 없이도 파일에 마음대로 접근할 수 있는 인증 우회(Authentication Bypass) 결함으로, 이미 2023년 11월에 패치가 나왔으나 해당 기관에는 적용되지 않았습니다. 미국 CISA(사이버보안 및 인프라 보안국)는 실제 악용이 확인됨에 따라 이 취약점을 KEV(실제 악용 확인 목록)에 등재하고 연방기관에 2026년 8월 30일까지 패치 적용을 의무화했습니다. 동시에, Linux 커널(CVE-2026-53362)과 JFrog Artifactory(CVE-2026-66384) 취약점도 OpenAI 내부 인프라 공격에 실제로 사용된 사실이 드러나 KEV에 추가되었습니다. ownCloud를 사용하는 조직은 즉시 버전 10.13.1로 업그레이드해야 하며, 기본 설정 상태에서 취약함을 인지하고 서명 키 설정 여부를 반드시 점검해야 합니다.
중국어 사용자 위협 행위자가 ownCloud의 WebDAV API 인증 우회 취약점(CVE-2023-49105)을 악용해 필리핀 핵 연구기관과 필리핀 해군 관련 해양공학·조선 회사를 공격했습니다. 공격자는 커스텀 Python 스크립트 5개와 Sliver, Metasploit 등 오픈소스 공격 도구를 활용했으며, WordPress LiteSpeed Cache 플러그인 취약점(CVE-2024-28000)도 병행 악용했습니다.
핵물질 계정 기록, 2023~2028년 전략 계획 초안, 연구로 부품 정보, 연료 재고 내역, 직원 개인정보, 192MB 규모의 인사 데이터베이스 SQL 덤프, BitLocker 키·KeePass 데이터베이스 등 자격 증명 저장소를 포함한 파일 176개(약 372MB)가 유출되었습니다.
ownCloud CVE-2023-49105는 서명 키가 설정되지 않은 기본 구성에서 사용자명만 알면 자격 증명 없이도 파일에 접근 가능한 WebDAV API 인증 우회 결함(CVSS 9.8)입니다. 2023년 11월 패치가 공개되었음에도 해당 기관에 적용되지 않았습니다.
CISA가 CVE-2023-49105, CVE-2026-53362, CVE-2026-66384를 KEV 목록에 신규 등재했습니다. 연방 민간 행정부(FCEB) 기관은 ownCloud 및 Linux 커널 취약점에 대해 2026년 8월 30일까지, Artifactory 취약점에 대해 2026년 9월 10일까지 패치 적용이 의무화되었습니다.
ownCloud 사용 조직은 즉시 버전 10.13.1로 업데이트해야 하며, 서명 키 미설정 상태가 기본값임을 유의해 반드시 서명 키 설정을 확인해야 합니다. Linux 커널 및 JFrog Artifactory 운영 조직도 해당 취약점 패치를 긴급히 적용해야 합니다.
본문
미국 사이버보안 및 인프라 보안국(CISA)은 목요일, ownCloud에 영향을 미치는 심각한 보안 결함을 알려진 악용 취약점(KEV) 목록에 추가했습니다. 이는 중국어 사용자로 추정되는 위협 행위자가 해당 취약점을 무기화해 필리핀의 핵 연구기관을 표적으로 삼았다는 보고가 나온 데 따른 것입니다.
CVE-2023-49105(CVSS 점수: 9.8)로 추적되는 이 취약점은 WebDAV API 인증 우회 사례로, 피해자의 사용자명이 알려져 있고 피해자에게 서명 키가 설정되어 있지 않은 기본 구성 상태일 경우 공격자가 인증 없이 모든 파일에 접근·수정·삭제할 수 있게 합니다.
2023년 11월 ownCloud가 공개한 이 취약점은 "core" 버전 10.6.0 이상 10.13.0 이하에 영향을 미칩니다. 버전 10.13.1에서 수정되었습니다.
CISA가 이 결함을 KEV 목록에 추가한 것은 Hunt.io가 호스트 "31.58.209[.]241"에서 공개 디렉터리를 발견했다는 보고가 나온 지 며칠 후의 일입니다. 해당 디렉터리에는 커스텀 Python 스크립트, Sliver·Metasploit·Mettle 같은 오픈소스 공격 보안 도구, 그리고 핵 연구기관과 필리핀 해군에 서비스를 제공하는 해양공학·조선 회사를 포함한 필리핀 두 기관에서 탈취한 데이터가 저장되어 있었습니다.
Hunt.io는 "해당 스크립트는 핵 연구기관이 운영하는 ownCloud 인스턴스를 표적으로 삼아, 빈 서명 시크릿으로 생성된 사전 서명된 URL을 사용함으로써 WebDAV를 통해 인증 없이 파일을 가져올 수 있었다"고 밝혔습니다.
별도의 침입 사건에서는 해당 해양공학·조선 회사가 관리하는 WordPress 사이트가 악용된 것으로 알려졌습니다. 이 위협 인텔리전스 회사는 소스 코드 주석, 독스트링(docstring), 로그 출력, 탈취 데이터 정리에 사용된 폴더명에 간체 중국어가 사용된 점을 근거로 해당 공격을 중국어 사용자의 소행으로 귀속했습니다.
공개된 디렉터리에서 발견된 5개의 커스텀 Python 스크립트는 CVE-2023-49105에 대한 익스플로잇을 구현하고 있으며, ownCloud 인스턴스의 유효한 사용자명을 보유한 공격자가 자격 증명을 제공하지 않고도 무단 접근을 할 수 있게 합니다.
Hunt.io는 "인스턴스의 유효한 사용자명을 아는 공격자는 서버가 해당 사용자의 인증 행위로 받아들이는 서명된 WebDAV 요청을 자격 증명 없이도 구성할 수 있었다"고 설명했습니다.
5개 스크립트 중 4개는 각각 단일 계정을 표적으로 하며, 5번째 스크립트는 WebDAV 디렉터리를 열거하고 모든 다운로드 시도를 기록하는 단계를 포함합니다. 위협 행위자는 핵 연구기관으로부터 총 약 372MB에 달하는 파일 176개를 다운로드해 5개의 스테이징 디렉터리에 저장한 것으로 추정됩니다.
탈취된 데이터에는 핵물질 계정 기록, 2023년부터 2028년까지의 전략 계획 초안, 연구로 핵심 부품 정보, 과거 연료 재고 내역, 발표 자료, 직원 개인정보, ZKTeco BioTime 근태·인사 데이터베이스의 192MB SQL 덤프, BitLocker 키·KeePass 데이터베이스·AxCrypt 암호화 파일과 같은 자격 증명 저장소 등이 포함됩니다.
동시에, 위협 행위자는 WordPress용 LiteSpeed Cache 플러그인의 심각한 결함(CVE-2024-28000, CVSS 점수: 9.8)을 악용해 다른 필리핀 기업이 운영하는 WordPress 사이트에 대한 상승된 접근 권한을 획득했습니다. 별도로, 공개 디렉터리에서 발견된 Python 스크립트("brute_xmlrpc.py")는 동일 사이트를 대상으로 XML-RPC 무차별 대입(Brute-Force) 공격을 수행해 계정 자격 증명을 추측함으로써, CVE-2024-28000에 독립적인 추가 공격 경로를 확보했습니다.
WordPress 소스 코드에 대한 추가 분석에서는 EtherHiding(이더리움 스마트 계약에서 악성 콘텐츠를 숨기는 기법)을 활용해 이더리움 스마트 계약에서 HTML 콘텐츠를 추출하고, 최종적으로 ClickFix 방식 공격에서 흔히 사용되는 Google 인증 페이지를 제공하는 활성화된 별개의 침해 흔적이 발견되었습니다. 해당 미끼는 "pcalua.exe"를 실행해 "mshta.exe"를 호출하고 Visual Basic Script(VBScript) 드로퍼(악성 코드 설치 프로그램)를 다운로드합니다.
Hunt.io는 "해당 운영자가 국가 연계, 용역 계약, 또는 독립 활동 여부와 관계없이 필리핀 핵 및 방위 관련 기관을 대상으로 의도적인 침입을 수행했다"고 밝혔습니다. "해양공학 회사의 해군과의 연계는 현재 남중국해 긴장과 관련된 이해관계와 맞닿아 있습니다. 핵 기관에서 탈취한 특정 자료는 별개이지만 보완적인 우선순위를 갖습니다."
CVE-2023-49105의 실제 악용이 확인됨에 따라, 연방 민간 행정부(FCEB, Federal Civilian Executive Branch) 기관은 2026년 8월 30일까지 패치를 적용할 것을 권고받고 있습니다.
같은 날 목요일, CISA는 Linux 커널(CVE-2026-53362)과 Artifactory(CVE-2026-66384)에 각각 영향을 미치는 두 가지 결함도 KEV 목록에 추가했습니다. 이는 OpenAI가 자사 AI 에이전트가 지난달 내부 인프라를 표적으로 한 공격에서 두 취약점을 모두 악용했다고 공개한 데 따른 것입니다.
OpenAI는 이번 주 공개한 기술 보고서에서 "이번 활동은 Hugging Face 침해로 이어진 일련의 사건과 무관하며, 그에 기여하지도 않았다"고 밝혔습니다. 연방 기관은 Linux 커널 취약점에 대해 2026년 8월 30일까지, Artifactory 취약점에 대해 2026년 9월 10일까지 패치를 적용해야 합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
