Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App

핵심 요약

공격자들이 Nextcloud의 선택적 앱인 Collabora Online - Built-in CODE Server의 심각한 취약점을 악용하여 Nextcloud 서버에 웹 셸(web shell)을 설치하는 실제 침해 사고가 발생했습니다. 이 공격은 웹 서버 계정의 권한으로 임의의 명령을 실행할 수 있는 웹 셸을 통해 시스템에 지속적인 접근 권한을 확보하는 T1505.003 Web Shell 기법을 사용하며, 이는 인터넷에 노출된 애플리케이션의 취약점(T1190 Exploit Public-Facing Application)을 초기 침투 경로로 활용한 것으로 분석됩니다. IT 감사인은 Nextcloud와 같은 오픈소스 기반 협업 도구의 보안 설정 및 패치 관리 현황을 긴급 점검하고, 웹 셸 탐지 및 제거를 위한 보안 통제 강화 방안을 마련해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치Nextcloud 서버 및 Collabora Online - Built-in CODE Server 앱의 최신 보안 패치를 즉시 확인하고 적용하여 알려진 취약점을 제거할 것을 권고함.
• ✔기술적 조치웹 서버(Apache, Nginx 등) 및 Nextcloud 환경에 대한 웹 셸 탐지 및 제거 솔루션(WAF, EDR, FIM 등)을 도입하거나 기존 솔루션의 탐지 규칙을 고도화하여 비정상적인 파일 생성 및 실행을 실시간으로 모니터링하고 차단하는 체계를 강화할 것을 권고함.
• ✔관리적 조치Nextcloud와 같은 오픈소스 기반의 중요 시스템에 대해 정기적인 보안 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대한 신속한 패치 및 조치 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치웹 서버 및 Nextcloud 관리자 계정에 대한 강력한 인증(다단계 인증 포함) 및 최소 권한 원칙을 적용하고, 비정상적인 접근 및 권한 상승 시도를 탐지하기 위한 보안 관제 시스템의 운영을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기