SonicWall SMA1000, 랜섬웨어까지 악용됐다

SonicWall SMA1000, 랜섬웨어까지 악용됐다 / AI 생성 일러스트(삽화)

미국 사이버보안·인프라보안국(CISA)이 SonicWall의 원격접속 게이트웨이 SMA1000에서 발견된 취약점 두 건이 랜섬웨어 공격에 실제로 악용되고 있다고 확인했다. 문제의 결함은 CVE-2026-15409와 CVE-2026-15410이다. 이 중 CVE-2026-15409는 CVSS 최고 점수인 10.0을 받은 서버 사이드 요청 위조(SSRF, 공격자가 서버를 속여 원치 않는 곳으로 요청을 보내게 하는 기법) 취약점이다. SonicWall은 7월 14일(현지시각) 보안 권고문 SNWLID-2026-0008을 공개하며 두 결함에 대한 핫픽스를 배포했다. 그런데 공개 시점보다 훨씬 앞선 6월 22일(현지시각)부터 공격자들이 이 결함을 제로데이로 악용해온 사실이 이후 드러났다. CISA는 KEV(알려진 익스플로잇 취약점) 카탈로그를 갱신하며 두 취약점이 랜섬웨어 공격 사슬에서 실제 사용됐다고 못박았다.

SMA1000은 대기업과 정부기관, 관리형 서비스 제공업체(MSSP)들이 내부 애플리케이션과 사내망에 VPN으로 접속하도록 지원하는 엔터프라이즈급 원격접속 장비다. 인터넷에 노출된 이 장비가 뚫리면 공격자가 곧바로 사내 신뢰 경계 안쪽까지 발을 들이게 된다는 점에서 위험도가 특히 높다.

두 취약점이 만드는 침투 경로

CVE-2026-15409는 인증 절차 없이도 원격에서 악용할 수 있는 결함이다. SMA1000의 워크플레이스(Workplace) 웹 인터페이스에 존재하며, 공격자는 이 결함을 이용해 장비의 /wsproxy 기능을 남용해 웹소켓 터널을 열 수 있다. 원래 로컬호스트에서만 접근 가능해야 할 내부 서비스, 즉 CouchDB 관련 서비스와 8188번 포트에서 대기하는 관리 서비스까지 이 터널을 통해 원격에서 닿을 수 있게 된다.

두 번째 결함인 CVE-2026-15410은 CVSS 7.2 등급으로, SMA1000 관리 콘솔(AMC)에 존재하는 코드 인젝션 취약점이다. 단독으로는 관리자 인증이 필요하지만, 공격자가 먼저 SSRF로 내부 서비스에 발판을 마련한 뒤 핫픽스 제거 기능의 경로 조작(path traversal) 약점을 악용하면 조작된 스크립트를 루트 권한으로 실행시킬 수 있다. 보안업체 Rapid7은 이 경로를 독립적으로 재현했다며, SSRF로 내부 얼랭(Erlang) 서비스에 터널을 열어 CouchDB 사용자 권한으로 코드를 실행한 뒤 두 번째 결함으로 루트까지 권한을 끌어올리는 과정을 확인했다고 밝혔다. Rapid7은 이를 두고 두 결함이 결합되면 인증 없이 원격 코드 실행이 가능한 사실상 하나의 공격 체인이 된다고 설명했다.

영향을 받는 제품은 SMA 6210, 7210, 8200v로, 12.4.3과 12.5.0 펌웨어 브랜치의 취약한 버전이 대상이다. SonicWall 방화벽의 SSL-VPN 기능이나 SMA 100 시리즈는 이번 결함의 영향을 받지 않는다. 해결 버전은 12.4.3-03453 이상 또는 12.5.0-02835 이상이며, 별도의 우회 조치는 없어 패치가 유일한 방어책이다.

공개 전부터 시작된 제로데이 공격 / AI 생성 이미지

공개 전부터 시작된 제로데이 공격

사고 대응 업체 볼렉시티(Volexity)는 SonicWall SMA 장비에서 발생한 의심스러운 인증·측면 이동 활동을 조사하던 중 이번 공격 캠페인을 발견했다. 로그와 메모리, 디스크 이미지를 분석한 결과 침해 흔적은 6월 22일(현지시각)까지 거슬러 올라갔다. 이는 SonicWall이 결함을 공개하고 핫픽스를 배포한 7월 14일(현지시각)보다 몇 주 앞선 시점이다.

볼렉시티는 이 공격 활동에 UTA0533이라는 임시 추적명을 부여했다. 이는 특정 범죄조직이나 국가 배후 해커집단으로 확정된 이름이 아니라, 신원과 배후관계가 조사 중인 상태에서 붙이는 식별자다. UTA0533은 KNUCKLEBALL, Suo5, ROOTRUN과 비힌더(Behinder)계열 자바 웹셸인 ORANGETAIL 등의 맞춤형 악성코드를 취약한 장비에 심어 활동한 것으로 파악됐다. 인터넷 보안 감시 단체 섀도서버(Shadowserver)는 현재 인터넷에 노출된 SMA1000 장비가 380대 이상이라고 집계했다. 다만 이 중 일부는 이미 보안 조치가 완료됐을 가능성도 있다.

INC 랜섬웨어의 개입과 서로 다른 공격 물결

보안업체 리시큐리티(Resecurity)는 이번 공격을 INC 랜섬웨어 계열 조직과 연관지었다. 다른 보안 매체 보도에서도 INC 랜섬웨어 조직이 이 취약점 체인을 악용하는 주요 행위자로 부상했다고 전했다. 다만 초기 제로데이 공격은 UTA0533 클러스터와 연결돼 있어, 시기별로 서로 다른 위협 행위자가 개입한 것으로 보인다.

Rapid7의 사고대응 담당 브렛 더로시(Brett Deroche)는 공개 이후 벌어진 악용 사례들 중 INC가 가장 빈번하게 연관된 행위자가 됐다고 밝혔다. 다만 관측된 악성 활동 전부를 이 조직 하나로 단정할 수는 없다고 덧붙였다. Rapid7은 자사가 조사한 사례 중 최소 한 건에서 랜섬웨어가 실제로 배포돼 성공했다고 밝혔다. 반면 회사가 파악한 대부분의 사례에서는 대응팀이 데이터 탈취나 암호화를 사전에 차단했다고 전했다. 보안 매체 사이버스쿠프(CyberScoop)는 초기 공격 물결과 이후 공격 물결이 사용한 인프라와 공격 속도, 드러난 역량 면에서 서로 뚜렷한 차이를 보였다고 보도했다.

기업이 지금 확인해야 할 조치

CISA는 지난 7월 14일(현지시각) 두 취약점을 KEV 카탈로그에 등재하며 연방 민간기관에 7월 17일(현지시각)까지 사흘이라는 짧은 기한을 주고 패치를 요구했다. 이후 카탈로그를 갱신해 두 결함이 랜섬웨어 공격에서도 쓰였다고 추가로 표시했다.

SonicWall은 인터넷에 노출됐던 미패치 장비를 이미 침해된 것으로 간주해 점검할 것을 권고했다. 확인해야 할 흔적으로는 extraweb_access.log에서 정상적이지 않은 /__api__/login 또는 /__api__/logout 경로로의 HTTP 200 응답, /wsproxy 요청 중 의심스러운 호스트 파라미터와 HTTP 101 응답, ctrl-service.log의 경로 조작 형태를 띤 핫픽스 롤백 이벤트, /var/lib/unit/conf.json 내 정당하지 않은 라우트 등이 꼽힌다.

이런 침해 지표가 발견되면 SonicWall은 하드웨어 장비는 재이미징하고 가상 장비는 재배포한 뒤, 모든 사용자·관리자 비밀번호를 변경하고 TOTP(일회용 인증 토큰)를 재설정하라고 권고했다. 단순히 패치만 적용하고 넘어갈 경우, 패치 이전에 이미 노출됐던 장비라면 여전히 위험이 남아있을 수 있다는 경고다.