팔로우 BeyondTrust는 의심되는 중국 연계 사이버 첩보 행위자가 제로데이로 악용한 원격 지원(RS)의 치명적인 취약성인 CVE-2026-102764를 공개했습니다. 이 결함은 CVSS 4.0 점수 9.3을 가지고 있으며, 인증되지 않은 원격 공격자가 취약한 장치에서 임의의 파일 작업을 수행할 수 있게 합니다.
Google 위협 인텔리전스 그룹과 Mandiant는 관찰된 악용을 이전에 UNC5221로 추적되었고 WARP PANDA라는 이름과도 연관된 ARMORY CASTLE에 귀속합니다. 이 그룹은 인터넷에 노출된 보안 장치를 표적으로 하여 이전에 알려지지 않은 취약성을 악용하여 고가치 환경에 지속적인 접근을 확보한 이력이 있습니다.
공격은 2026년 8월 29일에 시작되었으며, 위협 행위자가 BeyondTrust에서 호스팅한 원격 지원 인스턴스 하나와 자체 호스팅 장치 하나를 성공적으로 악용했습니다. BeyondTrust는 나중에 취약성을 재현하고 수정판을 개발했으며, 2026년 10월 15일에 CVE를 공식적으로 공개하기 전에 BT26-05 패치를 배포하기 시작했습니다.
성공적인 악용은 공격자가 특권 원격 접근을 중개하는 장치에서 발판을 마련할 수 있게 하며, 관리자 인증 정보, API 비밀, 지원 세션 및 내부 엔드포인트에 접근할 수 있도록 제공합니다. Mandiant는 공격자가 루트 권한을 확장하고, 맞춤형 악성 소프트웨어를 배포하며, 자격 증명을 수확하고, 접근 제어를 수정하고, 다운스트림 시스템으로 회전하는 것을 관찰했습니다.
조직은 SOC Prime의 AI-기반 탐지 인텔리전스 플랫폼을 활용하여 최신 취약성과 활동적인 악용 캠페인에 대한 위협 사냥과 탐지 엔지니어링을 SIEM, EDR, XDR 및 데이터 레이크 환경 전반에 걸쳐 가속화할 수 있습니다.
Prime Architect는 또한 보안 팀이 기술 위협 인텔리전스를 탐지 로직, 사냥 쿼리 및 환경별 규칙으로 변환하도록 지원하며, 새로운 공격 기법의 분석을 신속히 지원할 수 있습니다.
CVE-2026-102764 분석
CVE-2026-102764는 26.2.3 버전까지와 포함하여 BeyondTrust Remote Support에 영향을 미칩니다. BeyondTrust는 이 문제를 CWE-290 하의 내부 메시지 구성 요소에서의 부적절한 출처 검증으로 분류합니다. 영향을 받는 구성 요소는 받은 메시지의 출처를 충분히 검증하지 못해, 적절한 조건 하에 원격 공격자가 장치에서 파일 작업을 수행할 수 있게 했습니다.
결함은 네트워크 접근 가능한 공격 벡터, 낮은 공격 복잡성, 요구되지 않는 권한, 사용자 상호작용 없는 항목으로 CVSS 4.0 점수 9.3을 받았습니다. 성공적인 악용은 기밀성, 무결성 및 가용성에 큰 영향을 미칠 수 있습니다.
BeyondTrust는 자체 호스팅 조직이 수정을 완료할 때까지 취약성의 상세 기술을 보류하고 있습니다. 그러나 Mandiant의 사고 대응 조사는 이 결함이 악용된 후 공격자가 어떻게 운영했는지에 대한 풍부한 통찰력을 제공합니다.
ARMORY CASTLE은 BeyondTrust 원격 지원 장치에서 악성 파일을 배치하기 위해 취약성을 악용했습니다. Mandiant는 SAWFLY라는 맞춤형 웹쉘이 장치의 웹 접근 가능한 디렉터리에 생성되기 전에 비정상적인 PHP 리소스를 겨냥한 POST 요청을 관찰했습니다.
mangoapi.php로 저장된 SAWFLY는 명령 실행이 상호작용할 수 있도록 하면서 존재를 숨기기 위해 설계된 가벼운 PHP 웹쉘입니다. 이는 RC4 암호화와 결합된 맞춤 Base32 통신 계층을 사용하며, 특정 매개 변수가 포함된 요청에만 응답합니다. 이 검사를 통과하지 못하는 요청은 HTTP 404 응답을 받아, 웹쉘이 자동 크롤러와 기본적인 보안 스캐닝을 회피하도록 돕습니다.
웹쉘은 initially unprivileged site service 계정으로 실행되었습니다. 루트 접근을 얻기 위해 공격자는 /bin/sh를 /usr/bin/dbus-authd로 복사하고 파일 소유자을 루트로 변경하며 SUID 권한 비트를 활성화했습니다. 수정된 이 바이너리를 실행하면 지속적인 루트 수준 명령 실행이 제공되었습니다.
루트 권한은 ARMORY CASTLE에 BeyondTrust 장치와 해당 특권 접근 데이터에 대한 상당한 통제권을 부여했습니다. Mandiant는 행위자가 정품 도구 /ns/sbin/bt-secrets 관리자 유틸리티를 악용하여 장치의 기본 비밀 금고에 저장된 비밀번호, API 키 및 기타 인증 정보를 검색하려고 시도하는 것을 관찰했습니다.
공격자는 또한 재부팅과 구성 재설정에서도 접근을 유지하기 위해 조치를 취했습니다. /home/bomgar/sbin/post_boot.d 아래에 zz-root-persist라는 시작 스크립트를 만들고 장치의 sudoers 템플릿을 수정하여 손상된 서비스 계정이 비밀번호 없이 루트 권한을 받도록 했습니다.
또 다른 맞춤 도구인 BARECLAW는 손상된 장치를 통해 비밀 터널링을 수립하기 위해 배포되었습니다. BARECLAW는 WebSockets를 통해 작동하는 C 기반 SOCKS5 프록시로, 인증, 트래픽 난독화, 목적지 제한, 상류 프록시, TLS를 지원할 수 있습니다.
공격자는 HAProxy 구성을 수정하여 특별히 선택된 WebSocket 경로에 대한 외부 요청을 로컬 호스트에서 수신 중인 BARECLAW로 투명하게 리디렉션하도록 했습니다. 이는 터널러가 외부 포트 스캐닝으로부터 숨겨진 상태로 남아 있을 수 있게 하면서도 장치의 합법적인 HTTPS-향 인프라를 통해 접근 가능하도록 했습니다.
악용 이후 활동은 장치 자체를 넘어 확장되었습니다. ARMORY CASTLE은 도난 당했거나 수정된 BeyondTrust 관리 권한을 사용하여 내부 엔드포인트에 대한 원격 지원 세션을 시작하고, 파일 시스템 접근을 요청하며, 정찰에 유용한 내부 문서를 다운로드했습니다.
위협 행위자는 또한 광범위한 안티포렌식 작업에 관여했습니다. Mandiant는 인증 로그, 웹 서버 기록, 응용 프로그램 로그, PHP 로그, 인증 금고 접근과 관련된 기록 삭제를 관찰했습니다. 이러한 행동은 공격자가 호스트 수준에서 침해한 후 삭제할 수 없는 외부 SIEM 또는 로그 저장소로 장치 원격 측정 데이터를 전달하는 중요성을 강조합니다.
BeyondTrust는 moderate-to-high 신용도로 ARMORY CASTLE일 가능성이 있음을 나타내고 있으며, 이는 Mandiant의 평가와 일치합니다. 이 그룹은 이전에 Citrix NetScaler 및 Ivanti Connect Secure를 포함한 엣지 및 원격 접근 제품에서 취약성을 악용하여 장기적인 첩보 작전의 일환으로 사용한 이력이 있습니다.
현재 공개에는 CVE-2026-102764의 공개적인 PoC가 포함되어 있지 않습니다. BeyondTrust는 취약한 자체 호스팅 장치가 패치되지 않은 동안 모방 공격의 위험을 줄이기 위해 악용 세부 정보를 명시적으로 보류하고 있습니다.
CVE-2026-102764 탐지를 위해, 수비수들은 비정상적인 PHP 파일, 웹 접근 가능한 디렉토리의 예상치 못한 파일 생성, 설명되지 않는 SUID 바이너리, HAProxy 또는 sudoers 템플릿의 수정, 의심스러운 관리자 역할 변경, 장치 로그 전달의 중단을 조사해야 합니다.
CVE-2026-102764 완화
BeyondTrust는 협조된 공개 이전에 영향을 받은 고객에게 BT26-05 패치를 릴리스했습니다. 2026년 10월 9일 기준, 회사는 모든 원격 지원 SaaS 고객 인스턴스에 대한 수정을 적용했습니다. SaaS 고객은 장치 자체를 수동으로 패치할 필요가 없습니다.
버전 24.3.1에서 26.2.3을 실행하는 자체 호스팅 원격 지원 고객은 장치 관리 인터페이스를 통해 BT26-05-RS 패치를 즉시 설치해야 합니다. 24.3.1보다 이전의 버전을 실행하는 조직은 보안 패치를 적용하기 전에 지원 릴리스로 먼저 업그레이드해야 합니다.
BeyondTrust는 원격 지원을 취약한 것으로 확인했지만, 특권 원격 접근은 영향을 받은 코드의 일부를 공유합니다. 공급업체는 PRA에 대한 문제를 악용할 수 있는 성공적인 방법을 식별하지 않았지만, 예방 조치로 대응 패치를 릴리스하고 자체 호스팅 PRA 고객에게 적용할 것을 권장합니다.
조직은 악용 창 동안 취약한 상태로 남아 있는 인터넷에 접근 가능한 원격 지원 장치를 철저한 조사가 완료될 때까지 잠재적으로 손상된 것으로 간주해야 합니다. 패치 설치는 향후 악용을 방지하지만, 수색 전에 설정된 악성 소프트웨어 또는 지속성을 제거하지는 않습니다.
Mandiant는 의심스러운 장치를 재부팅하거나 재구성하기 전에 법의학적 증거를 보존할 것을 권장합니다. 가상 장치의 경우 가능한 경우 메모리를 캡처하고 스냅샷을 찍고 디스크를 내보내는 것을 포함합니다. 조직은 또한 전체 노출 창을 다루는 외부 방화벽, WAF, 역방향 프록시 및 SIEM 기록을 보존해야 합니다.
확인되었거나 잠재적으로 손상된 장치는 경계에서 격리되어야 합니다. 조직은 필수 BeyondTrust 업데이트 및 라이센스 인프라에 대한 접근만 유지하면서 아웃바운드 트래픽을 제한할 수도 있습니다.
호스트 수준의 침해가 확인되었거나 배제될 수 없는 경우, Mandiant는 개별 악성 구성 요소를 제거하려고 시도하기보다는 깨끗하고 완전하게 패치된 이미지에서 장치를 재구축할 것을 권장합니다. 캠페인에서 관찰된 호스트 수준의 지속성은 재부팅과 구성 재설정을 견딜 수 있습니다.
자격 증명 회전은 손상된 장치가 패치되고, 격리되었거나 재구축된 이후에 발생해야 합니다. 그렇지 않으면, 새로운 자격 증명은 즉시 시스템을 제어하고 있는 공격자에게 접근 가능하게 될 수 있습니다.
우선적인 자격 증명 회전에는 장치 관리자, 원격 지원 관리자, API 클라이언트 비밀, SAML 키, 디렉토리 서비스 바인드 계정, 원격 지원 금고 자격 증명, 통합 비밀 및 잠재적으로 손상된 지원 세션 동안 입력된 자격 증명이 포함됩니다.
CVE-2026-102764 악용을 탐지하려면, 보안 팀은 웹 요청 및 파일 생성 이벤트를 계정 변경, 지원 세션 활동, 예상치 못한 파일 전송, 의심스러운 WebSocket 연결 및 외부로 전달된 로깅의 간격과 상관시켜야 합니다.
발행된 CVE-2026-102764 IOC에는 SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb인 SAWFLY 웹쉘 파일명 mangoapi.php, SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462인 BARECLAW 바이너리 ingredi_ws와 스테이징 경로 app_84304470.php가 포함되어 있습니다.
추가적인 행동 지표에는 SUID 권한을 가진 /usr/bin/dbus-authd 생성, zz-root-persist 부팅 스크립트, /ns/config/sudoers.template의 의심스러운 변경, /ns/config/haproxy.conf의 예상치 못한 수정 및 WebSocket 경로 /uidchanarge가 있습니다.
보안 팀은 또한 Jump Item이나 팀 권한의 예상치 못한 증가, 새로 생성된 API 계정이나 사용자, 의심스러운 관리자 로그인, 설명되지 않는 파일 전송 세션 및 아웃바운드 로깅 목적지 변경에 대한 BeyondTrust 감사 이벤트를 검토해야 합니다.
ARMORY CASTLE이 관찰된 침입 동안 지역 로그를 체계적으로 삭제했기 때문에, 조직은 장치에 상주하는 증거에만 의존해서는 안 됩니다. 중앙 집중식 로그 전달, 경계 네트워크 원격 측정, 역방향 프록시 로그 및 다운스트림 엔드포인트 원격 측정은 잠재적 침해를 재구성하는 데 필수적입니다.
BeyondTrust는 또한 /login과 /appliance 인터페이스에 대한 접근을 제한하고, 관리자에 대해 피싱에 강한 MFA를 강화하며, 지역 특권 계정을 최소화하고, API 권한을 제한하며, 운영상 가능한 경우 기본 차단 아웃바운드 필터링을 적용할 것을 권장합니다.
SOC Prime의 AI-기반 탐지 인텔리전스 플랫폼은 보안 팀이 ARMORY CASTLE 활동에 대한 최신 위협 인텔리전스를 운영화하고, 정체성, 네트워크, 엔드포인트 및 장치 원격 측정 전반에 걸쳐 행동 사냥을 가속화하는 데 도움이 될 수 있습니다.
FAQ
CVE-2026-102764란 무엇이며 어떻게 작동합니까?
CVE-2026-102764는 BeyondTrust Remote Support의 치명적인 취약성으로, 내부 메시지 구성 요소 내의 메시지 출처의 부적절한 검증으로 인해 발생합니다. 인증되지 않은 원격 공격자는 이 약점을 악용하여 취약한 장치에서 파일 작업을 수행할 수 있습니다. 관찰된 공격에서 ARMORY CASTLE은 웹쉘을 배포하고, 권한을 확장하며, 루트 수준의 제어를 얻기 전에 초기 발판을 마련하는 데 이 결함을 사용했습니다.
CVE-2026-102764는 언제 처음 발견되었습니까?
BeyondTrust는 ARMORY CASTLE이 2026년 8월 29일에 제로데이를 성공적으로 악용한 것을 관찰했습니다. 회사의 사전 위협 사냥은 9월 28일에 활동을 식별하고 같은 날 취약성을 재현했으며 수정판 개발을 시작했습니다. 패치는 10월 8일에 고객에게 릴리스되었고, SaaS 배포는 10월 9일까지 모두 패치되었으며, 공공 협조된 공개는 2026년 10월 15일에 이루어졌습니다.
CVE-2026-102764가 시스템에 미치는 영향은 무엇입니까?
성공적인 악용은 BeyondTrust 원격 지원 장치에서 임의의 파일 작업을 수행할 수 있게 하고, 더 깊은 침해로 가는 경로를 형성할 수 있습니다. 기록된 공격에서 ARMORY CASTLE은 SAWFLY 웹쉘을 배포하고, 권한을 루트로 상승시키고, 인증 정보를 추출하려고 시도하고, 지속적인 관리 접근을 생성하고, BARECLAW 터널러를 배포하고, 장치 구성을 수정하고, 내부 시스템으로 전환했습니다.
CVE-2026-102764가 2026년에도 저에게 영향을 미칠 수 있습니까?
네. BT26-05 패치가 적용되지 않은 경우 26.2.3 버전과 그 이전을 실행하는 자체 호스팅 BeyondTrust 원격 지원 장치는 여전히 위험에 처해 있습니다. 24.3.1 이전 버전의 장치는 먼저 지원 릴리스로 업그레이드해야 합니다. SaaS 원격 지원 인스턴스는 BeyondTrust에 의해 2026년 10월 9일까지 패치되었습니다.
CVE-2026-102764로부터 자신을 보호하려면 어떻게 해야 합니까?
즉시 BT26-05 패치를 설치하고, 취약한 동안 인터넷에 접근 가능한 장치를 조사하고, 외부 및 법의학적 원격 측정을 보존하고, 침해가 확인되었거나 배제될 수 없는 경우 시스템을 재구축하십시오. 격리 후에만 특권 자격 증명을 회전하고, 장치 관리 인터페이스를 제한하고, MFA를 시행하며, CVE-2026-102764에 대한 업데이트된 세부 정보를 위해 BeyondTrust 지침을 계속 모니터링하십시오.
