Cisco Talos는 Cisco SD-WAN 시스템에서 키를 탈취하는 악성코드를 Lumen이 이전에 상세히 분석한 Volt Typhoon의 'Silent Train' 네트워크와 중첩되는 인프라와 연결지었다. 이 발견은 Cisco SD-WAN 제로데이 Volt Typhoon 활동 정황을 더 광범위한 패턴, 즉 국가 연계 행위자들이 조직의 트래픽을 운반하는 라우터와 엣지 디바이스를 노리는 패턴과 연결한다.

연구의 공개 요약은 간략하므로, 이 글은 보고된 내용에만 집중하고 네트워크 인프라를 운영하는 사람들에게 왜 중요한지 설명한다.

Talos가 SD-WAN 공격에서 발견한 것

보고서에 따르면, Cisco Talos는 Cisco SD-WAN을 대상으로 사용된 키 탈취 악성코드를 Silent Train 네트워크와 중첩되는 인프라와 연결지었다. 이 악성코드는 SD-WAN 시스템의 키를 대상으로 하며, 해당 활동에는 제로데이 익스플로잇이 포함되었다. 즉, 수정 패치가 제공되기 전에 취약점이 악용되었다.

출처 요약은 특정 취약점, 영향을 받는 버전, 또는 피해자 수에 대한 더 자세한 내용을 제공하지 않으므로, 이 점들에 대해 추측하지 않겠다. 관리자는 영향을 받는 제품 및 수정된 릴리스의 공식 목록을 위해 Cisco 자체 권고문을 확인해야 한다.

Silent Train이 해당 활동을 Volt Typhoon과 연결하는 방식

여기서의 귀속은 인프라 중첩에 관한 것이지, 특정 그룹이 모든 침해의 배후에 있다고 단정하는 것이 아니다. Talos는 악성코드와 연관된 서버 및 네트워크 리소스가 Silent Train과 중첩된다는 것을 발견했으며, Lumen은 자체 연구에서 Silent Train을 설명하고 이를 Volt Typhoon과 연결했다.

인프라 중첩은 방어자에게 유용한 신호다. 보안 팀이 여러 조사에 걸쳐 지표를 비교할 수 있게 해주며, 동일한 운영자 또는 리소스를 공유하는 운영자가 관련되어 있을 수 있음을 시사한다. 이는 완전한 귀속과는 다르며, 독자는 이러한 구분을 염두에 두고 받아들여야 한다.

엣지 디바이스와 탈취된 키가 그토록 가치 있는 표적인 이유

SD-WAN 컨트롤러와 엣지 라우터는 병목 지점에 위치한다. 이들은 지사 사무실, 데이터 센터, 클라우드 서비스를 연결하며, 종종 디바이스 간 상호 인증에 사용되는 암호화 자료를 보유한다. 이러한 시스템에서 키를 탈취하면 공격자는 합법적인 트래픽에 섞여들거나 네트워크의 다른 부분에 접근할 수 있는 방법을 얻을 수 있다.

엣지 장비는 또한 노트북이나 서버보다 모니터링하기 어렵다. 많은 조직이 이러한 어플라이언스에서 엔드포인트 보안 에이전트를 실행할 수 없으므로, 침해가 오랜 기간 발견되지 않을 수 있다. 이는 이들을 인내심 있고 충분한 자원을 갖춘 행위자들에게 매력적으로 만든다.

이것은 Cisco 제품에 대한 고립된 추세가 아니다. 최근 보도에서는 Cisco FMC 제로데이 CVE-2026-20316이 활발한 공격을 받은 경위와 세 해커 그룹이 FMC 취약점을 이용해 Qilin 랜섬웨어를 배포한 경위를 다루었다. 관리 및 네트워크 인프라는 매우 다양한 종류의 공격자들로부터 계속 주목을 받고 있다.

관리자가 지금 패치하고 엣지 장비를 강화하기 위해 해야 할 일

Cisco SD-WAN 또는 기타 엣지 인프라를 관리한다면, 몇 가지 단계를 우선시할 가치가 있다:

  • Cisco의 수정 사항을 신속히 적용하라. SD-WAN에 대한 벤더 권고문을 확인하고, 배포 환경에 사용 가능해지는 즉시 패치된 릴리스를 설치하라.
  • 노출된 관리 인터페이스를 감사하라. 컨트롤러와 관리 플레인은 개방 인터넷에서 접근 가능해서는 안 된다. 신뢰할 수 있는 네트워크 또는 전용 관리 경로로 접근을 제한하라.
  • 자격 증명과 키를 검토하고 교체하라. 악성코드가 키를 대상으로 하므로, 패치 후 영향을 받은 시스템의 인증서와 비밀 정보를 교체해야 하는지 고려하라.
  • 로그에서 비정상 활동을 확인하라. 예상치 못한 로그인, 구성 변경, 또는 낯선 주소로부터의 연결을 찾아보고, Cisco Talos와 Lumen이 공개하는 지표와 비교하라.
  • 분할하고 모니터링하라. 침해된 엣지 디바이스가 접근할 수 있는 범위를 제한하고, 그 로그를 공격자가 쉽게 변경할 수 없는 시스템으로 전송하라.

이것이 당신에게 의미하는 것

소규모 비즈니스를 운영하거나 관리형 네트워크를 사용한다면, SD-WAN이나 엣지 장비에 크게 신경 쓰지 않고 의존하고 있을 수 있다. 이 보고서는 이러한 디바이스가 한 번 설정하고 잊어버리는 것이 아니라는 점을 상기시킨다. 이들은 서버와 동일한 수준의 패치 규율을 받을 자격이 있으며, 공격자들이 이들이 철저히 모니터링되지 않는다는 것을 알고 있기 때문에 종종 더욱 그러하다.

개인 사용자라면 이 보고서에 기반해 취할 단일 조치는 없다. 그럼에도 불구하고, 이는 가정이나 소규모 사무실에서 라우터와 방화벽 펌웨어를 최신 상태로 유지하는 것이 왜 중요한지를 보여준다. 당신의 데이터를 처리하는 조직은 그들의 트래픽을 운반하는 디바이스만큼만 안전하다.

핵심 요점

Talos가 보고한 Cisco SD-WAN 제로데이와 Volt Typhoon의 연결은 국가 연계 행위자들이 엣지 인프라를 고가치 표적으로 취급하는 방식을 부각시킨다. Cisco 또는 기타 엣지 시스템을 관리한다면, 신속히 패치하고, 어떤 관리 인터페이스가 노출되어 있는지 감사하며, 침해 가능성이 있는 곳에서는 키를 교체하라. 이 패턴에 대한 더 넓은 시각을 위해서는 Sandworm과 Qilin이 악용한 Cisco FMC 취약점과 적극적으로 악용되는 Secure Email Gateway 제로데이에 대한 보도를 읽어보라. 그런 다음 오늘 자신의 엣지 장비를 점검하라.