중국 해킹 그룹 UTA0565가 구글 크롬과 마이크로소프트 윈도우의 취약점 3개를 동시에 연결해 사용하는 제로데이 공격을 실제로 감행했습니다. 공격자는 가짜 언론사·NGO 사이트를 만들어 피해자를 유인한 뒤, 브라우저 샌드박스를 탈출하고 원격에서 시스템을 마음대로 조종할 수 있는 악성코드 CLEANGULP을 설치했습니다. 세 가지 취약점(CVE-2026-85046, CVE-2026-87491, CVE-2026-85880) 모두 CISA의 실제 악용 확인 목록(KEV)에 등재된 상태입니다. 아시아 정부 기관이 표적이 되었으며, 실제 피해 범위는 현재 파악된 것보다 훨씬 넓을 가능성이 있습니다. 크롬과 윈도우 최신 보안 패치 적용이 즉시 필요합니다.
중국 위협 행위자 UTA0565가 크롬 취약점 2개(CVE-2026-85046, CVE-2026-87491)와 윈도우 취약점 1개(CVE-2026-85880)를 체인으로 묶어 악성코드 CLEANGULP을 배포했다. 공격은 2026년 9월 3~4일에 탐지되었으며, 아시아 정부 기관을 포함한 다수의 조직이 표적이 되었다.
공격자는 브라우저 샌드박스를 탈출해 피해 시스템에서 원격 코드 실행(RCE)을 달성했다. 설치된 CLEANGULP 악성코드는 명령 실행, 프로세스 조회, 파일 업로드·다운로드, 비콘 오브젝트 파일(BOF) 실행 등 다양한 기능을 지원한다.
BlueMoon 익스플로잇 킷이 Chrome V8 타입 혼동(Type Confusion) 및 경계 외 쓰기(Out-of-Bounds Write) 취약점과 윈도우 힙 기반 버퍼 오버플로우 취약점을 결합하여 악용했다. 피해자는 언론사·NGO로 위장한 피싱 이메일의 가짜 링크를 통해 악성 사이트로 유인되었다.
세 취약점 모두 CISA KEV에 등재되었으며 패치가 공개되어 있다. Volexity가 공격 분석 보고서를 발표했고, 사용된 가짜 도메인과 C2 인프라가 공개되었다.
크롬과 윈도우를 최신 버전으로 즉시 업데이트해야 한다. BlueMoon 익스플로잇 킷이 복수의 중국 해킹 그룹 사이에서 공유·변형되고 있어, 동일 취약점을 이용한 추가 캠페인이 발생할 가능성이 높다. 피싱 이메일의 도메인 철자 오류(chinadigitaltimes[.]top, americanprgoress[.]top 등)를 주의해야 한다.
본문
Ravie Lakshmanan 2026년 9월 23일 · 제로데이 / 취약점
UTA0565로 불리는 중국 위협 행위자가 가짜 웹사이트를 통해 최근 공개된 Google Chrome-Microsoft Windows 익스플로잇 체인을 제로데이로 악용한 사실이 포착되었다.
2026년 9월 3~4일에 탐지된 이번 공격은 Chrome의 취약점 2개(CVE-2026-85046, CVE-2026-87491)와 Windows 고급 로컬 프로시저 호출(ALPC)에 영향을 주는 취약점 1개(CVE-2026-85880)를 연쇄 결합해 브라우저 샌드박스를 탈출하고 원격 코드 실행(RCE)을 달성하는 방식으로 이루어졌다.
"UTA0565는 언론 기관과 비정부기구(NGO) 등 다양한 단체로 위장했다"고 Volexity 연구원 Damien Cash와 Tom Lancaster는 이번 주 발표한 분석에서 밝혔다. "특히 이 위협 행위자의 캠페인은 기존에 문서화된 공격과 달리, 여러 개의 가짜 웹사이트를 사용해 피해자를 속인다는 점에서 차별화된다."
그 중 한 캠페인은 아시아 정부 기관을 표적으로 삼아 중국어·영어로 작성된 피싱 이메일을 발송했다. 이메일은 이달 초 7년 3개월의 징역형을 선고받은 홍콩 활동가 Chow Hang-tung을 지지하도록 촉구하는 내용을 담고 있었으며, 미국진보센터(CAP)를 사칭했다.
해당 이메일에는 "chinadigitaltimes[.]top"과 "americanprgoress[.]top"을 가리키는 위장 링크가 포함되어 있었으며, 이 사이트들은 China Digital Times와 CAP의 외관을 모방하면서 숨겨진 iframe을 통해 추가 HTML 요소를 불러왔다.
문제의 HTML 요소("config.html")는 CVE-2026-85046, CVE-2026-87491, CVE-2026-85880을 결합한 동일한 BlueMoon 익스플로잇 킷을 사용한 것으로 알려졌으며, 최종 "pp" 셸코드는 해당 가짜 도메인에서 "chrome_cleanup.exe"라는 실행 파일을 다운로드했다. 이 페이로드는 Microsoft Visual C 컴파일러로 제작된 CLEANGULP이라는 악성코드 계열이다.
CLEANGULP은 다음 기능을 지원한다 -
- shell: 명령 실행
- ps: 실행 중인 프로세스 목록 조회
- upload: 파일 업로드
- download: 파일 다운로드
- bof: 비콘 오브젝트 파일(BOF) 실행
흥미롭게도 CLEANGULP은 명령·제어(C2) 통신에 HTTP를 통해 "thecovnresation[.]com"이라는 하드코딩된 도메인을 사용하는 것으로 확인되었다. 이는 학술 연구·분석·논평을 게재하는 비영리 언론 매체 "theconversation[.]com"을 모방하려는 시도로 보인다.
"여러 위협 행위자에 걸쳐 이처럼 광범위하게 채택된 정황은 중국 CNE(사이버 네트워크 익스플로잇) 커뮤니티 내에서의 조율된 움직임을 시사한다. 핵심 킷이 여러 그룹 간에 공유·커스터마이징·무기화되었을 가능성이 높다"고 Volexity는 밝혔다. "현재까지 보고된 활동은 두 조직의 관측 결과만을 반영하는 것으로, 전체 범위와 영향은 훨씬 더 광범위할 가능성이 크다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
