China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers

핵심 요약

중국과 연계된 사이버 첩보 그룹 'Armory Castle'이 BeyondTrust Remote Support(구 Bomgar)의 제로데이 취약점(CVE-2026-102764, CVSS 9.3)을 악용하여 원격 지원 서버를 장악했습니다. 이 취약점은 내부 메시징 구성 요소의 부적절한 출처 유효성 검사(improper origin validation) 문제로, 공격자는 이를 통해 원격 서비스에 대한 무단 접근을 획득하고 기존 세션을 탈취하여 시스템 내에서 측면 이동(Lateral Movement)을 시도했을 것으로 분석됩니다. IT 감사인은 조직 내 BeyondTrust Remote Support 사용 여부를 즉시 확인하고, 해당 취약점에 대한 패치 적용 및 원격 접근 통제 정책의 적절성을 긴급 점검해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치BeyondTrust Remote Support(구 Bomgar) 솔루션을 사용하는 경우, 해당 제로데이 취약점(CVE-2026-102764)에 대한 벤더사의 공식 보안 패치를 즉시 확인하고 최신 버전으로 업데이트를 적용해야 함을 권고함.
• ✔기술적 조치원격 지원 시스템에 대한 접근 통제 정책을 강화하고, 다중 인증(MFA)을 필수적으로 적용하며, 최소 권한 원칙에 따라 접근 권한을 엄격하게 관리할 것을 권고함.
• ✔기술적 조치원격 지원 세션에 대한 모든 활동을 기록하고 실시간으로 모니터링하며, 비정상적인 접근 시도나 세션 탈취 징후를 탐지하기 위한 보안 솔루션(예: SIEM, EDR)의 탐지 규칙을 고도화할 것을 권고함.
• ✔관리적 조치원격 지원 시스템과 관련된 내부 메시징 구성 요소의 보안 설정 및 출처 유효성 검사(origin validation) 메커니즘에 대한 정기적인 보안 취약점 점검 및 모의 해킹을 수행하여 잠재적 위협을 사전에 식별하고 제거할 것을 권고함.
• ✔관리적 조치제로데이 취약점과 같은 고위험 위협에 대한 신속한 정보 공유 및 비상 대응 절차를 수립하고, 관련 부서 간의 협업 체계를 강화하여 위협 발생 시 즉각적인 대응이 가능하도록 훈련을 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기