원격 관리 취약점과 연관된 새로운 랜섬웨어

Microsoft Threat Intelligence는 중국에 기반을 둔 것으로 추정되는 Storm-1175로 추적되는 위협 행위자와 연결된 새로운 랜섬웨어 캠페인을 확인했습니다. Microsoft의 조사 결과에 따르면, 이 그룹은 N-able의 N-central 원격 모니터링 및 관리(RMM) 도구의 인증 우회 취약점인 CVE-2026-18577을 악용해 피해 네트워크에 초기 접근 권한을 얻었을 가능성이 높습니다. 침투 후 공격자들은 현재 StormEncryptor라고 불리는 이전에 문서화되지 않은 랜섬웨어 변종을 배포했습니다.

세부 사항은 아직 드러나고 있지만, 지금까지 보고된 핵심 사실은 분명합니다. 널리 사용되는 IT 관리 플랫폼의 결함이 인증 우회를 허용했고, 그 우회가 랜섬웨어 배포의 진입점 역할을 한 것으로 보입니다. 엔드포인트 관리에 RMM 소프트웨어를 사용하는 조직에게 이러한 조합은 보안 팀이 예방하려고 노력하는 바로 그 시나리오입니다.

RMM 도구가 고가치 표적이 되는 이유

N-central과 같은 원격 모니터링 및 관리 플랫폼은 IT 관리자에게 수많은 장치를 중앙 집중식으로 제어할 수 있는 권한을 부여하기 위해 존재합니다. 특히 해당 소프트웨어를 관리형 서비스 제공업체(MSP)가 사용할 경우 여러 클라이언트 조직에 걸쳐 있을 수 있습니다. 이러한 중앙 집중화가 합법적인 관리자에게 유용한 이유이자 공격자에게 매력적인 이유이기도 합니다. RMM 도구의 단일 인증 우회는 하나의 네트워크뿐만 아니라 해당 도구가 닿는 모든 장치와 클라이언트 환경으로 통하는 문을 잠재적으로 열 수 있습니다.

이는 랜섬웨어 작업에서 새로운 패턴이 아닙니다. 공격자들은 인프라와 관리 소프트웨어를 집중적으로 노리는 이유는 바로 그것을 손상시키면 한 번의 성공적인 익스플로잇으로 영향을 배가할 수 있기 때문입니다. 취약점이 공격자가 인증을 완전히 건너뛸 수 있도록 허용할 경우, 자격 증명 모니터링이나 다중 요소 인증과 같은 일반적인 방어 수단이 작동하지 않을 수 있습니다. 애초에 공격자에게 유효한 자격 증명이 필요하지 않았기 때문입니다.

StormEncryptor에 대해 우리가 아는 것과 모르는 것

Microsoft의 보고에 따르면, StormEncryptor는 기존 계열의 리브랜드라기보다는 새롭게 구축된 랜섬웨어 변종으로 보입니다. 이름과 N-central 익스플로잇과의 명백한 연관성 외에는 현재 단계에서 공개된 세부 사항이 제한적입니다. 분명한 것은 Storm-1175가 초기 접근에서 랜섬웨어 배포로 이동했다는 점이며, 이는 이러한 취약점이 알려졌을 때 조직들이 가장 피하고 싶어하는 결과입니다.

이 사례는 랜섬웨어 연구에서 반복적으로 제기된 요점을 다시 한 번 강화합니다. 특정 사건이 격리되더라도 이러한 그룹의 근본적인 재정적 인센티브는 거의 사라지지 않는다는 점입니다. 랜섬웨어 지불에 관한 최근 데이터에서 보여주듯이, 몸값을 지불한다고 해서 조직이 다시 표적이 되는 것을 안정적으로 막을 수는 없습니다. 이 데이터는 방어자의 목표는 사후 대응 계획을 세우는 것만이 아니라 예방과 신속한 탐지여야 함을 상기시켜 줍니다.

이것이 여러분에게 의미하는 바

귀사 또는 귀사가 의존하는 관리형 서비스 제공업체가 N-able의 N-central 플랫폼을 사용한다면, 이 상황은 즉각적인 주의가 필요합니다. 인증 우회 취약점은 공격자가 극복해야 할 정상적인 장벽을 제거하기 때문에 심각도가 높은 것으로 간주됩니다. 랜섬웨어 그룹이 이미 이 결함을 무기화한 것으로 보이는 사실은 공개와 활발한 익스플로잇 사이의 시간이 짧았음을 의미합니다.

RMM 소프트웨어를 직접 관리하지 않는 일반 사용자와 소규모 기업에게 실질적인 교훈은 더 넓습니다. 랜섬웨어 그룹은 IT 팀이 가장 신뢰하는 도구를 지속적으로 조사하고 있으며, 이 인프라 계층의 취약점은 엄청난 결과를 초래할 수 있습니다. 지금이 바로 IT 제공업체나 내부 팀에 엔드포인트에 안티바이러스 보호가 되어 있는지뿐 아니라 장치를 관리하는 소프트웨어가 패치되고 모니터링되는지 물어볼 좋은 시점입니다.

실행 가능한 핵심 사항

N-able N-central을 사용하는 조직은 CVE-2026-18577이 자사 환경에서 패치되었는지 확인하고 공급업체 권고 사항을 면밀히 검토해야 합니다. IT 팀은 또한 RMM 액세스 로그를 감사하여 비정상적인 인증 활동의 흔적을 확인해야 합니다. 우회 취약점은 정상적인 로그인 경고가 트리거되지 않더라도 흔적을 남길 수 있기 때문입니다. 오프라인에서 테스트된 백업을 유지하는 것은 공격자가 어떻게 침입하든 랜섬웨어에 대한 가장 신뢰할 수 있는 방어 수단 중 하나로 남아 있습니다. 마지막으로, 타사 관리형 서비스 제공업체에 의존하는 기업은 해당 제공업체가 클라이언트 네트워크에서 실행되는 관리 도구에 보안 패치를 얼마나 신속하게 적용하는지 직접 물어봐야 합니다. 패치되지 않은 RMM 인스턴스 하나가 한 번에 여러 조직을 노출시킬 수 있기 때문입니다.