트루컨프 서버 뚫려 설치파일이 팬텀코어 악성코드로 둔갑

트루컨프 서버 뚫려 설치파일이 팬텀코어 악성코드로 둔갑 / AI 생성 일러스트(삽화)

러시아 화상회의 소프트웨어 트루컨프(TrueConf) 서버가 해킹 그룹의 표적이 돼 정상 클라이언트 설치파일이 악성 코드로 바꿔치기되는 사고가 발생했다. 보안업체 카스퍼스키(Kaspersky)는 헤드메어(Head Mare)로 알려진 위협 행위자가 패치되지 않은 트루컨프 서버의 취약점 두 건을 연쇄적으로 악용해 팬텀코어(PhantomCore) 백도어와 원격접근트로이목마(RAT)를 유포한 사실을 7월 포착했다고 밝혔다. 공격 대상은 계측기기, 전자, 운송, 에너지, IT, 소프트웨어 개발 등 러시아 기업들이다.

트루컨프는 줌(Zoom)이나 마이크로소프트 팀즈 같은 서구 도구를 대체하는 온프레미스형 보안 화상회의 도구로 러시아 기업·정부 부문에서 널리 쓰인다. 이번 침해는 서버 자체의 신뢰 기반을 악용해 사내는 물론 협력사 직원에게까지 악성 설치파일을 퍼뜨릴 수 있는 공급망 공격 형태라는 점에서 주목받고 있다.

포트 4307에서 시작된 침투

공격자는 기본적으로 열려 있는 TCP 4307 포트를 통해 인증 없이 트루컨프 서버에 접속했다. 이후 KLCERT-26-057로 명명된 취약점을 이용해 서버의 격리된(샌드박스) 환경 안에서 악성 스크립트를 실행했다. 이 환경은 운영체제 기능 접근을 제한하도록 설계돼 있었지만, 공격자는 두 번째 취약점 KLCERT-26-058을 통해 샌드박스를 탈출해 하위 호스트에서 임의 명령을 실행하는 데 성공했다.

이 과정을 거쳐 공격자는 NT AUTHORITY\SYSTEM 권한까지 확보했다. 이후 “\public\js\locale.php” 파일을 웹셸로 교체해 서버에 지속적으로 접근할 수 있는 통로를 만들었다. 해당 취약점은 트루컨프 서버 5.3.x(5.3.9 이전), 5.4.x(5.4.9 이전), 5.5.x(5.5.5 이전) 및 그 이전 구버전에 영향을 미친다.

웹셸에서 설치파일 바꿔치기까지 / AI 생성 이미지

웹셸에서 설치파일 바꿔치기까지

웹셸을 확보한 공격자는 이를 발판으로 조직의 IT 인프라 정보를 수집하고 트루컨프 데이터베이스에 대한 권한 있는 접근을 획득했다. 최종적으로는 서버에 호스팅된 정상 트루컨프 클라이언트 배포판을 팬텀코어가 포함된 감염 버전으로 바꿔치기했다.

문제는 이 감염된 설치파일이 디지털 서명이 없는 상태로 유포됐다는 점이다. 조직 구성원이 사내 서버에 접속해 업데이트를 받으면 서명되지 않은 악성 설치파일을 그대로 내려받게 된다. 카스퍼스키는 “귀사가 직접 트루컨프 서버를 운영하지 않더라도, 직원이 침해된 협력사의 트루컨프 서버에 접속해 화상회의에 참여하거나 감염된 설치 패키지를 내려받을 수 있다”고 경고했다. 서버 하나의 침해가 여러 협력 조직의 단말까지 전파될 수 있는 구조라는 의미다.

팬텀코어와 팬텀그래프, 두 개의 백도어

웹셸은 팬텀코어 외에도 팬텀그래프(PhantomGraph)라는 또 다른 백도어의 통로 역할도 했다. 팬텀그래프는 팬텀코어와 코드가 일부 겹치며, SysExcSvc.dll과 SysReadSvc.dll이라는 두 개의 DLL 모듈로 구성돼 있다. SysExcSvc.dll은 명령을 받고 그 결과를 마이크로소프트 원드라이브(OneDrive) 클라우드 저장소를 명령제어(C2) 서버처럼 활용해 외부로 유출하는 역할을 하고, SysReadSvc.dll은 전달받은 명령을 해석하고 실행한 뒤 결과를 저장한다.

공격자는 지속성을 확보하기 위해 Base64로 인코딩된 파워셸(PowerShell) 명령을 실행해 두 DLL을 윈도우 서비스로 설치했다. 카스퍼스키는 “공격자가 탐지·대응(EDR) 도구의 탐지를 어렵게 만들기 위해 이 악성코드를 두 구성요소로 의도적으로 분리한 것으로 보인다”고 설명했다. 이와 함께 SSH 역방향 터널을 개설하고, 자격 증명 탈취를 위해 LSASS(로컬 보안 인증 서브시스템 서비스) 프로세스의 메모리를 덤프했으며 hostname, whoami 같은 명령으로 시스템 정보를 수집한 것도 확인됐다.

반복되는 트루컨프 공격, 패치와 대응책은

이번 사고가 헤드메어의 트루컨프 제로데이 악용 사례 중 처음은 아니다. 2026년 4월 보안업체 포지티브 테크놀로지스(Positive Technologies)는 트루컨프의 취약점 세 건(BDU:2025-10114, BDU:2025-10115, BDU-2025-10116)이 지난해 9월부터 헤드메어에 의해 악용돼 PHP 웹셸과 정보 탈취용 악성 페이로드 유포에 쓰였다고 공개한 바 있다. 비슷한 시기 체크포인트(Check Point)는 트루컨프 클라이언트의 또 다른 고위험 취약점(CVE-2026-3502)이 제로데이로 악용돼 동남아시아 정부 기관을 겨냥한 하복(Havoc) C2 프레임워크 유포 캠페인에 쓰였다고 밝혔다. 체크포인트는 이 작전을 ‘오퍼레이션 트루 카오스(Operation True Chaos)’로 명명하고, 하복 임플란트를 사용하는 중국계 위협 행위자의 소행으로 잠정 지목했다.

트루컨프는 이번에 악용된 취약점을 6월 18일(현지시각) 5.3.9, 5.4.9, 5.5.5 버전에서 패치했다. 그러나 카스퍼스키가 공격을 포착한 7월 시점에도 패치가 적용되지 않은 서버들이 여전히 표적이 됐다. 5.2 이하 구버전을 쓰는 조직은 자동 업데이트가 불가능해 기술지원팀에 별도로 문의해야 한다. 카스퍼스키의 분석 결과는 8월 7일(현지시각) 공개됐고, 블리핑컴퓨터(BleepingComputer)는 다음 날인 8월 8일(현지시각) 이를 보도했다.

보안 전문가들은 관리자에게 4307번 포트가 외부에 노출돼 있는지 점검하고, “public/js/locale.php” 파일의 변경 여부를 확인할 것을 권고한다. 또한 클라이언트 설치파일을 반드시 공식 홈페이지에서만 내려받고, 설치 전 실행파일(.exe)의 MD5 체크섬을 공식 다운로드 페이지에 게시된 값과 비교해 위변조 여부를 확인해야 한다. 이미 침해가 의심되는 경우에는 서버 격리, 자격 증명 전면 교체, 연결된 워크스테이션 전수 점검이 필요하다.