랜섬웨어 조직과 국가 지원 해커, Cisco FMC 취약점 실제 악용

Cisco Talos는 최근 패치된 Secure Firewall Management Center(FMC) 취약점 두 건이 랜섬웨어 및 국가 지원 공격과 연계된 세 개의 별도 위협 클러스터에 의해 악용됐다고 밝혔습니다.

이번 공격은 최대 심각도 인증 우회 결함인 CVE-2026-20079와, 공격자가 낮은 권한 계정으로 로그인할 수 있는 정적 자격증명 취약점 CVE-2026-20316을 악용했습니다.

Cisco Talos의 새 보고서에 따르면, 세 클러스터는 침해된 FMC 장치를 이용해 웹 셸을 배포하고, 자격증명을 탈취하며, 리버스 셸과 프록시를 생성했습니다. 일부 공격에서는 Qilin 랜섬웨어와 Cyclops Blink 악성코드를 배포한 사실도 확인됐습니다.

Cisco Talos는 "Talos의 분석을 통해 국가 지원 및 범죄 위협 행위자와 연계된 FMC 인스턴스에서의 침해 후 활동 클러스터 세 가지가 드러났다"고 밝혔습니다.

회사는 해당 클러스터를 UAT-12197, UAT-11823, UAT-11988로 추적하고 있습니다.

CVE-2026-20079는 CVSS 최고 점수인 10.0으로, 인증되지 않은 원격 공격자가 취약한 FMC 장치에서 인증을 우회하고 루트로 스크립트를 실행할 수 있게 합니다.

CVE-2026-20316의 CVSS 점수는 5.3으로, 공격자가 낮은 권한 계정의 정적 자격증명을 사용해 FMC에 로그인할 수 있습니다. 그러나 Cisco는 다른 FMC 취약점과 결합하면 권한을 상승시킬 수 있다는 이유로 이 결함을 High 심각도로 평가하고 있습니다.

Cisco는 두 취약점 모두에 대한 핫픽스를 이미 배포했으며, 고객들에게 즉시 설치할 것을 촉구하고 있습니다. 또한 다음 주에는 추가 취약점 패치를 포함한 더 포괄적인 보안 강화 업데이트를 배포할 예정입니다.

FMC 침해 후 Qilin 랜섬웨어 배포

Talos는 UAT-11988로 추적되는 침해 클러스터 중 하나를 높은 신뢰도로 Qilin 랜섬웨어 계열사로 귀속시켰습니다.

위협 행위자는 CVE-2026-20316과 연관된 정적 자격증명을 이용해 FMC 장치에 접근한 후, FMC에 내장된 합법적인 도구를 악용해 피해자 네트워크를 정찰했습니다.

공격자들은 호스트명, IP 주소, 디렉터리 목록, Active Directory 서비스 계정 자격증명, MySQL 자격증명, 도메인 계정 정보, 컴퓨터 목록, 내부 서버 및 인프라의 호스트명-IP 주소 매핑 정보를 수집했습니다.

Talos에 따르면 수집된 정보는 침해된 FMC 서버의 공개 접근 가능한 파일에 보관되었다가 HTTP GET 요청을 통해 다운로드됐습니다.

공격자들은 이후 Python SOCKS5 프록시와 리버스 SSH 터널을 배포해 내부 시스템에 대한 접근을 유지하고, LDAP, LDAPS, Kerberos, SMB, NetBIOS, WinRM 포트를 포워딩했습니다.

정찰을 마친 위협 행위자는 Impacket, Invoke-TheHash, 맞춤형 EDR 킬러 등 침해 후 공격 도구를 활용했습니다.

최종적으로 공격자들은 엔드포인트에 Qilin 랜섬웨어를 배포해 파일을 암호화했습니다.

APT 해커, Cyclops Blink 배포

UAT-11823으로 추적되는 두 번째 침해 클러스터는 Talos에 의해 높은 신뢰도로 Sandworm APT 그룹과 도구 사용 방식이 겹치는 지능형 지속 위협(APT) 행위자로 귀속됐습니다.

Sandworm은 러시아 군 정보기관 GRU와 연계된 러시아 국가 지원 해킹 그룹으로, 정부 및 핵심 인프라를 대상으로 파괴적인 사이버 공격을 수행한 것으로 알려져 있습니다.

공격자들은 CVE-2026-20079를 악용하거나 CVE-2026-20316과 연관된 정적 자격증명을 사용해 FMC 장치에 접근했습니다.

접근 후 위협 행위자들은 license.tmp 파일을 수정해 자신들의 명령제어(C2) 인프라와 연결되는 Netcat 기반 리버스 셸을 구축했습니다. 악성 라이선스 파일은 이후 Cisco의 정상 유틸리티인 package_info.pl을 통해 루트로 실행됐습니다.

Talos는 UAT-11823이 공격 과정에서 CVE-2026-20079와 CVE-2026-20316 모두를 악용한 것으로 보고 있습니다.

공격자들은 또한 관리 대상 장치에서 구성 데이터를 수집해 나중에 유출하기 위해 압축 파일로 저장하는 스크립트도 배포했습니다.

UAT-11823은 최종적으로 침해된 장치에 Cyclops Blink 변종을 배포했습니다. Cyclops Blink는 러시아 Sandworm 위협 그룹에 기인하는 것으로 이전에 밝혀진 모듈형 리눅스 악성코드 계열입니다.

이 Cyclops Blink 변종은 백도어로 기능하며, 지속적인 접근, 자격증명 탈취, 네트워크 트래픽 도청 기능을 제공합니다.

세 번째 클러스터, 자격증명 탈취

UAT-12197로 추적되는 세 번째 클러스터는 CVE-2026-20079를 악용해 Cisco Security Manager의 Tomcat 웹루트 디렉터리에 JSP 기반 웹 셸을 삽입했습니다.

이후 웹 셸을 통해 cmd.jar라는 악성 JAR 파일을 설치했으며, 이를 통해 서버에서 명령을 실행할 수 있었습니다.

공격자들은 이 JAR 파일을 이용해 침해된 시스템의 내부 데이터베이스를 조회하고, 사용자 인증 데이터와 자격증명을 탈취했습니다.

7월 공격 간 연관성 확인

Talos 보고서는 7월에 처음 공개된 두 취약점의 악용에 관한 지속적인 의문에도 답을 제시했습니다.

BleepingComputer가 7월 29일 보도한 바와 같이, Cisco는 CVE-2026-20316이 활발히 악용되고 있으며 다른 FMC 취약점과 연계 시 권한 상승에 사용될 수 있다고 공개했습니다.

동시에 Cisco는 CVE-2026-20316에 사용된 것과 동일한 /var/tmp/license.tmp 침해지표(IoC)로 CVE-2026-20079 권고를 업데이트했지만, 인증 우회 결함 역시 악용되고 있는지는 확인하지 않았습니다.

BleepingComputer는 당시 두 취약점의 연관 여부, CVE-2026-20079의 악용 여부, 동일한 침해지표가 두 권고 모두에 등장하는 이유에 대해 Cisco에 문의했습니다.

Cisco는 해당 질문에 직접 답하지 않고, 고객들에게 가능한 한 빨리 핫픽스를 설치할 것을 촉구하는 성명만 공유했습니다.

Talos는 이번 보고서를 통해 UAT-11823이 두 취약점 모두를 악용했으며, 공격 과정에서 악성 license.tmp 메커니즘을 사용했음을 확인했습니다.