BeyondTrust Remote Support 취약점, 지원 도구를 공격 경로로 전환

공격자들이 공개되기 수주 전부터 치명적인 Remote Support 취약점을 악용하면서 BeyondTrust는 긴급 패치 위기에 직면했다. CVE-2026-102764로 추적되는 BeyondTrust Remote Support 취약점의 CVSS 점수는 9.3이다. 이 취약점은 Remote Support 26.2.3 및 이전 버전에 영향을 미친다.

CISA는 2026년 10월 16일 이 취약점을 Known Exploited Vulnerabilities 카탈로그에 추가했다. 이는 이론적 보안 위험이 아니라 실제 환경에서 악용되고 있다는 신뢰할 만한 증거를 확인한 조치다. CISA는 영향을 받는 자체 호스팅 어플라이언스 운영자에게 BT26-05-RS 패치를 즉시 적용할 것을 촉구하고 있다.

핵심 문제는 단일 업데이트 설치를 넘어선다. Remote Support 어플라이언스는 내부 시스템, 자격 증명, 관리 세션에 대한 권한 있는 접근을 중개한다. Mandiant는 공격자들이 침해된 어플라이언스를 이용해 지속성을 확보하고, root 권한을 획득하며, 하위 엔드포인트에 도달한 사실을 발견했다.

따라서 패치는 대응의 끝이 아니라 시작이다. 조직은 원래의 취약점을 차단할 수 있지만 공격자의 계정, 악성 구성 요소 또는 탈취된 자격 증명은 그대로 남아 있을 수 있다.

CISA, BeyondTrust Remote Support 취약점에 긴급 대응 일정 부여

CISA의 경고는 CVE-2026-102764를 일상적인 패치 결정에서 적극적인 사고 대응 우선순위로 전환한다.

BeyondTrust는 10월 15일 이 취약점을 공개했다. CISA는 실제 공격 증거를 근거로 다음 날 이를 Known Exploited Vulnerabilities 카탈로그에 추가했다.

기관의 패치 경고는 자체 호스팅 Remote Support 어플라이언스에 초점을 맞춘다. 자동 업데이트가 이미 수정 사항을 설치하지 않았다면 이러한 시스템은 고객이 직접 조치해야 한다.

Remote Support 26.2.3 및 이전 버전이 영향을 받는다. 버전 24.3.1부터 26.2.3까지를 실행하는 지원 대상 설치 환경은 BT26-05-RS 패치를 받을 수 있다. 더 오래된 릴리스를 사용하는 고객은 먼저 업그레이드해야 한다.

BeyondTrust는 10월 9일까지 모든 Remote Support software-as-a-service 환경에 패치를 적용했다고 밝혔다. 자체 호스팅 시스템은 각 운영자가 자체 업데이트 절차를 완료할 때까지 노출된 상태로 남을 수 있으므로 이 구분은 중요하다.

일반적으로 KEV라고 불리는 CISA의 Known Exploited Vulnerabilities 카탈로그는 공격자들이 연구 환경 밖에서 악용한 취약점을 식별한다. 연방 민간 기관은 Binding Operational Directive 22-01에 따라 카탈로그에 등록된 취약점을 지정된 기한까지 해결해야 한다.

CVE-2026-102764의 연방 기한은 카탈로그 등록 후 불과 3일 뒤인 10월 19일이었다. 이 짧은 기간은 취약점의 심각성과 권한 있는 원격 접근 어플라이언스가 침해됐을 때의 결과를 모두 반영한다.

연방 정부 밖의 조직은 이 지침의 적용을 받지 않는다. 그러나 CISA는 모든 조직이 취약점 관리 우선순위를 정할 때 이 카탈로그를 활용할 것을 권고한다.

공급업체 권고문은 이 결함을 내부 메시징 구성 요소의 부적절한 출처 검증으로 분류한다. 실질적으로 이는 어플라이언스가 특정 메시지의 발신 위치를 검증하지 못했다는 의미다.

적절한 조건에서 원격 공격자는 이 약점을 악용해 인증이나 사용자 상호작용 없이 파일 작업을 수행할 수 있다. Mandiant는 임의 파일 업로드가 호스트 수준의 제어로 이어질 수 있다고 밝혔다.

이 경로는 일반적인 유지보수 기간이 여기서는 부적절한 이유를 설명한다. 원격의 인증되지 않은 공격자는 유효한 자격 증명, 피싱 피해자 또는 기존 지원 세션 없이도 악용을 시작할 수 있다.

CISA는 영향을 받는 연방 시스템에 포렌식 분류도 요구하고 있다. 이 요구 사항은 패치의 중요한 한계를 인정한다. 수정된 소프트웨어를 설치한다고 해서 업데이트 이전에 공격자가 침입했는지 알 수 있는 것은 아니다.

조직은 먼저 정확한 Remote Support 버전과 패치 상태를 확인해야 한다. 또한 어플라이언스가 인터넷에서 접근 가능했던 시점을 파악하고, 전체 노출 기간을 포괄하는 로그를 보존해야 한다.

방어자가 패치를 받기 전에 공격은 시작됐다

위험한 기간은 8월 말에 시작됐으며, 공개 이후 모든 방어자가 명확한 완화 경로를 확보하기 약 6주 전이었다.

Mandiant는 이전에 UNC5221로 추적됐던 중국 연계가 의심되는 사이버 첩보 그룹 ARMORY CASTLE의 악용 활동을 식별했다. 조사 결과 관찰된 제로데이 활동은 2026년 8월 29일로 거슬러 올라간다.

제로데이는 영향을 받는 조직에 공개적으로 이용 가능한 수정 사항이 나오기 전에 악용되는 취약점이다. 이 시점은 사전에 어떤 패치 관리 프로그램으로도 제거할 수 없는 이점을 공격자에게 제공했다.

BeyondTrust는 해당 행위자가 8월 29일 회사 호스팅 Remote Support 인스턴스 하나와 자체 호스팅 어플라이언스 하나를 침해했다고 밝혔다. 회사는 공개 시점까지 알려진 두 사례 이후 추가적인 적대 행위의 증거는 발견하지 못했다고 보고했다.

이 수치는 확인된 사고를 나타내는 것이지 영향을 받은 시스템의 최대 수를 의미하지는 않는다. 특히 공격자가 어플라이언스에서 로그를 삭제할 수 있는 경우, 다른 침해 사고에는 보존된 증거가 없을 수 있다.

탐지 과정은 경고 신호가 얼마나 쉽게 분산될 수 있는지도 보여준다. 다른 보안 제공업체와 관련된 악용 사실이 9월 27일 공개된 후, BeyondTrust는 관련 위협 헌팅을 시작했다.

9월 28일 BeyondTrust의 사이버 방어 팀은 호스팅 환경과 관련된 증거를 식별했다. 회사는 최초 탐지 후 27분 이내에 해당 인스턴스를 격리했다고 밝혔다.

제품 보안 팀은 그날 저녁 침입 방식을 재현했고, 엔지니어링 팀은 수정 사항 개발을 시작했다. Mandiant는 9월 30일 자체 호스팅 고객 조사 결과를 공유했다.

BeyondTrust는 10월 8일 호스팅 및 자체 호스팅 고객에게 패치를 배포했다. Remote Support SaaS 환경은 10월 9일까지 수정 사항을 받았다고 밝혔다.

조율된 공개는 10월 15일에 뒤따랐다. 이 일정은 기술 보고가 취약점에 대한 인식을 높이기 전에 고객이 패치할 수 있는 짧은 기회를 제공했다.

하지만 공개는 두 번째 경쟁을 촉발한다. 공급업체가 상세한 익스플로잇 지침을 공개하지 않더라도 공격자는 권고문, 패치, 제품 동작을 이용해 결함을 연구할 수 있다.

BeyondTrust는 고객이 시스템을 업데이트하는 동안 기술적 악용 세부 정보를 공개하지 않고 있다. 그러나 회사의 공개 설명은 여전히 취약한 구성 요소와 실패한 보안 경계를 식별한다.

ARMORY CASTLE은 이전에 Citrix와 Ivanti의 엣지 장치를 표적으로 삼았다. 엣지 장치는 외부 네트워크와 민감한 내부 리소스 사이에 위치하므로 첩보 작전에 매력적인 진입 지점이 된다.

Google Threat Intelligence Group은 이 행위자가 이러한 제품의 제로데이 취약점을 계속 악용할 것으로 예상한다. 이 평가는 반복된 캠페인, 전문화된 도구, 표적 플랫폼에 대한 상세한 지식을 근거로 한다.

이 그룹은 이전 취약점이 공개된 후 선택적인 제로데이 활용에서 더 광범위한 악용으로도 전환했다. 이러한 전력은 공개 이후 아직 패치되지 않은 모든 Remote Support 어플라이언스를 더 노출시킨다.

따라서 초기 사고는 안심할 만한 상한선이 아니라 경고를 제공한다. 방어자는 다른 그룹이 공개 증거를 검토한 뒤 독자적인 익스플로잇 방식을 개발할 수 있다고 가정해야 한다.

파일 접근이 root 제어와 수평 이동으로 이어졌다

이 공격이 중요한 이유는 파일 작업 결함이 공개 인터넷에서 연결된 시스템 전반의 권한 있는 제어로 이어지는 경로가 됐기 때문이다.

취약점의 초기 기능은 결과적으로 발생한 침해보다 더 제한적으로 들린다. BeyondTrust는 무단 파일 작업을 설명했지만, Mandiant는 공격자들이 그 접근을 지속 가능한 관리 권한 거점으로 전환한 사실을 관찰했다.

사고 분석에 따르면 ARMORY CASTLE은 SAWFLY라는 맞춤형 PHP 웹셸을 업로드했다. 웹셸은 공격자가 웹 요청을 통해 명령을 실행할 수 있게 하는 서버 측 스크립트다.

조사관들은 SAWFLY가 암호화된 명령·제어 통신을 사용하고, 요청에 예상한 매개변수가 없을 때 가짜 404 응답을 반환한 사실을 발견했다. 이러한 동작은 기본적인 자동 스캔을 회피하는 데 도움이 됐다.

공격자는 악용과 관련된 최초 관찰 요청 후 약 11분 만에 SAWFLY를 생성했다. 처음에는 어플라이언스의 낮은 권한 서비스 계정을 통해 실행됐다.

그 후 ARMORY CASTLE은 시스템 셸을 복사하고 Set User ID 권한을 부여했다. SUID는 프로그램이 호출자의 권한이 아니라 소유자의 권한으로 실행되도록 하는 Unix 권한이다.

복사된 셸의 소유자가 root였기 때문에 이 변경은 root 수준 실행 경로를 만들었다. 이 접근 권한은 어플라이언스의 운영체제, 구성 및 저장된 비밀 정보를 공격자가 손에 넣을 수 있게 했다.

Mandiant는 공격자들이 독점 BeyondTrust 유틸리티를 사용해 어플라이언스의 비밀 정보 데이터베이스에서 자격 증명을 추출하려 한 시도를 관찰했다. 행위자는 계정별 및 전역 볼트 데이터를 찾으면서 여러 명령 형식을 시도했다.

조사관들은 서비스 계정에 암호 없이 root 권한을 부여하는 시작 스크립트도 발견했다. 이 스크립트는 구성 템플릿을 수정하고 활성 권한 파일을 다시 빌드했다.

이 설계는 단순 재부팅으로 이를 제거할 수 없다는 점에서 중요했다. Mandiant는 이 지속성이 구성 초기화 이후에도 살아남을 수 있으며, 일반적인 두 가지 복구 가정을 무너뜨릴 수 있다고 밝혔다.

공격자들은 어플라이언스 제어에 그치지 않았다. 이들은 탈취한 관리자 자격 증명을 사용해 Remote Support 관리 포털에 진입했다.

이들은 Jump Item 및 Team 권한을 “No Access”에서 “Administrator”로 변경했다. Jump Item은 BeyondTrust 플랫폼을 통해 원격 접근이 가능하도록 제공되는 시스템 또는 장치를 의미한다.

이 권한 변경은 하위 엔드포인트에 대한 정상 권한처럼 보이는 접근을 만들었다. 공격자는 일반적으로 신뢰받는 지원 직원이 사용하는 동일한 워크플로를 통해 원격 세션을 시작할 수 있었다.

Mandiant는 내부 엔드포인트에 대한 세션과 Remote Support의 파일 전송 기능 사용을 관찰했다. 행위자는 사용자의 데스크톱 환경에서 소프트웨어 인벤토리 정보를 포함한 민감한 문서를 다운로드했다.

이 그룹은 또한 WebSocket 트래픽을 통해 SOCKS5 프록시를 생성하는 맞춤형 터널링 도구 BARECLAW를 배포했다. SOCKS5 프록시는 네트워크 연결을 중계하며, 처음 침해된 호스트 너머에 대한 접근을 제공할 수 있다.

공격자는 인터넷 연결 요청 경로를 통해 BARECLAW를 노출하도록 어플라이언스의 HAProxy 구성을 수정했다. HAProxy는 들어오는 어플라이언스 트래픽을 내부 서비스로 라우팅하는 리버스 프록시다.

이 구성은 예상되는 공개 서비스 뒤에 터널러를 숨겼다. 또한 침해된 어플라이언스를 통해 다른 네트워크 대상에 도달하는 경로도 제공했다.

따라서 BeyondTrust Remote Support 취약점은 단순히 고립된 어플라이언스 문제가 아니었다. 신뢰받는 지원 제어 지점을 자격 증명 탈취, 지속성 확보, 수평 이동을 위한 플랫폼으로 전환했다.

패치만으로 기존 공격자를 제거할 수는 없다

성공적인 업데이트는 새로운 악용을 차단하지만, 설치 전에 탈취된 자격 증명을 취소하거나 생성된 지속성을 지우지는 못한다.

이 구분은 이 글의 핵심 상충 관계다. 조직은 진입점을 차단하기 위해 신속한 패치가 필요하지만, 속도가 잠재적 노출 이후 요구되는 조사를 대체할 수는 없다.

지원되는 자체 호스팅 배포 환경의 관리자는 어플라이언스 인터페이스를 통해 BT26-05-RS를 설치해야 합니다. 자동 업데이트가 성공적으로 완료됐다고 가정하지 말고 설치 여부를 확인해야 합니다.

버전 24.3.1 이전 시스템은 패치를 받기 전에 업그레이드가 필요합니다. 업그레이드만으로는 취약점이 해결되지 않으며, 후속 보안 업데이트가 적용된 뒤에야 취약점이 차단됩니다.

공격이 이뤄진 기간 동안 인터넷에서 접근 가능한 취약 어플라이언스는 추가적인 조사가 필요합니다. Mandiant는 검토를 통해 달리 확인되기 전까지 이러한 시스템을 침해된 가능성이 있는 것으로 취급할 것을 권고합니다.

의심스러운 시스템은 재부팅하거나 재구축하기 전에 증거를 보존해야 합니다. 운영 절차가 허용하는 경우 가상 어플라이언스에서는 메모리와 디스크 데이터를 함께 수집해야 합니다.

하드웨어 어플라이언스 운영자는 BeyondTrust 지원팀과 증거 보존을 조율해야 합니다. 고객은 어플라이언스 호스트 파일 시스템의 모든 보호 영역을 독자적으로 검사할 수 없습니다.

조사관들이 광범위한 로그 삭제를 확인했기 때문에 외부 로그는 특히 중요합니다. 공격자는 침입 과정에서 시스템, 애플리케이션, 웹 서버 및 자격 증명 도구 기록을 삭제했습니다.

보안팀은 방화벽, 웹 애플리케이션 방화벽, 리버스 프록시, ID, 엔드포인트, 보안 정보 및 이벤트 관리 데이터를 검토해야 합니다. SIEM은 여러 시스템의 보안 이벤트를 중앙에서 수집하고 상호 연관 분석합니다.

BeyondTrust는 어플라이언스 syslog와 세션 이벤트를 거의 실시간으로 외부 SIEM에 전송할 것을 권고합니다. 공격자가 로컬 증거를 삭제해도 어플라이언스 외부 기록은 남아 있습니다.

유의미한 행위에는 익숙하지 않은 주거용 또는 상업용 VPN 주소에서 발생한 관리자 로그인 등이 포함됩니다. 방어자는 웹 디렉터리의 예기치 않은 스크립트와 웹 서비스 계정이 실행한 셸도 조사해야 합니다.

권한 변경은 면밀히 살펴봐야 하며, 특히 Jump Items, Teams, API 계정 또는 세션 정책과 관련된 수정에 주의해야 합니다. 모든 변경은 승인된 요청 및 알려진 관리자와 연결되어야 합니다.

외부 로그 전달의 공백도 의미 있을 수 있습니다. BeyondTrust는 하나의 관리 세션 안에서 시작되고 끝나는 중단을 특별히 주목하라고 강조합니다.

알려진 파일 해시와 YARA 규칙은 헌팅에 도움이 될 수 있지만 완전한 보증을 제공하지는 못합니다. YARA 규칙은 정의된 패턴과 조건을 통해 파일 또는 메모리 콘텐츠를 식별합니다.

BeyondTrust는 공격 주체가 피해 조직마다 인프라와 도구를 바꿨다고 밝혔습니다. 공개된 지표가 하나도 발견되지 않았다고 해서 해당 조직의 어플라이언스가 안전하게 유지됐다는 뜻은 아닙니다.

침해가 확인됐거나 배제되지 않는 경우, 최신 패치가 적용된 새 이미지에서 재구축하는 것이 타당할 수 있습니다. 공격자가 root 권한을 획득하고 지속성 메커니즘을 수정했다면 개별 파일을 정리하는 방식은 신뢰도가 떨어집니다.

자격 증명 교체는 격리 또는 재구축 이후에 이뤄져야 합니다. 공격자가 아직 어플라이언스를 제어하는 동안 비밀 정보를 교체하면 새 자격 증명이 즉시 노출될 수 있습니다.

교체 범위에는 어플라이언스 관리자, Remote Support 계정, API 비밀값, 디렉터리 바인드 계정, 통합된 권한 접근 자격 증명이 포함돼야 합니다. 영향을 받은 지원 세션 중 입력된 자격 증명도 포함해야 합니다.

팀은 어플라이언스를 통해 연결된 하위 엔드포인트를 검토해야 합니다. 세션 보고서와 파일 전송 이력은 공격자가 어떤 시스템에 접근했고 어떤 정보가 유출됐는지 보여줄 수 있습니다.

기술 평가 역시 이전 침해 가능성에 대한 긴급 조치와 조사를 권고합니다. 패치만으로는 이미 구축된 지속성을 제거할 수 없다고 경고합니다.

자체 호스팅 원격 액세스는 다른 보안 부담을 수반한다

이번 사건은 기본적인 운영상 격차를 드러낸다. 호스팅 서비스는 중앙에서 수정 사항을 적용할 수 있지만, 자체 호스팅 어플라이언스는 수천 건의 현지 의사결정에 의존한다.

BeyondTrust는 SaaS 고객에게 공개 발표 전에 완화 조치를 제공했다고 밝혔습니다. 자체 호스팅 고객은 버전, 업데이트 경로, 자동 업데이트 설정 및 실제 패치 상태를 확인해야 합니다.

자체 호스팅은 데이터, 네트워킹, 유지보수에 대한 직접적인 통제권을 제공할 수 있습니다. 동시에 신속한 완화 조치, 모니터링, 증거 보존 및 복구에 대한 더 큰 책임을 고객에게 이전합니다.

원격 액세스 플랫폼이 필수 운영을 지원할 때 이러한 책임은 까다로워집니다. 어플라이언스를 격리하면 조직 전체의 헬프데스크 업무, 공급업체 지원 및 원격 관리가 중단될 수 있습니다.

공격자는 이런 망설임의 이점을 얻습니다. 다운타임을 협의하는 데 소요되는 매시간은 인터넷에 노출된 시스템을 악용할 기회를 유지할 수 있습니다.

따라서 보안팀은 다음 긴급 상황이 발생하기 전에 운영 계획을 마련해야 합니다. 이 계획에는 누가 격리를 승인할 수 있는지, 지원 업무를 어떻게 지속할지, 포렌식 데이터를 어디에 보관할지가 포함돼야 합니다.

원격 액세스 어플라이언스는 외부 사용자를 내부 시스템에 의도적으로 연결하기 때문에 위험이 집중됩니다. 이러한 장비는 자격 증명을 저장하고, 비밀값을 주입하며, 엔드포인트 에이전트를 유지하고, 권한 있는 세션을 중개할 수 있습니다.

이런 플랫폼이 침해되면 다른 곳에 배포된 통제를 우회할 수 있습니다. 악성 세션은 승인된 제품을 통해 이동하고 합법적인 관리자와 연결된 권한을 사용할 수 있습니다.

이 패턴은 BeyondTrust에만 국한되지 않습니다. Google의 위협 연구원들에 따르면 ARMORY CASTLE은 이전에 Citrix NetScaler와 Ivanti Connect Secure 취약점을 악용했습니다.

이 제품들은 설계와 목적은 다르지만 네트워크 경계에서 전략적으로 중요한 위치를 공유합니다. 이들은 신뢰된 액세스를 처리하면서 외부 네트워크에서 접근 가능한 상태를 유지합니다.

이 조합은 경계 시스템을 첩보 및 범죄 작전의 반복적인 표적으로 만들었습니다. 제한된 호스트 접근을 제공하는 강화된 어플라이언스에서는 전통적인 엔드포인트 도구의 가시성이 제한적일 수 있습니다.

BeyondTrust 사례는 또 다른 과제를 더합니다. 공격자는 관리 권한을 얻은 뒤 제품 자체의 원격 세션 및 파일 전송 기능을 사용할 수 있습니다.

기본 기능을 통해 생성된 활동은 합법적인 지원 업무와 유사하게 보일 수 있습니다. 따라서 탐지는 ID, 시점, 소스 네트워크, 권한 변경 및 관련 서비스 티켓을 고려해야 합니다.

조직은 관리 인터페이스를 신뢰할 수 있는 네트워크 또는 승인된 주소로 제한해야 합니다. 공용 노출은 고객과 지원 인력에게 필요한 특정 서비스로 한정해야 합니다.

아웃바운드 네트워크 액세스도 통제해야 합니다. 원격 지원 어플라이언스는 필요한 업데이트, 라이선싱, 로깅, 디렉터리 및 통합 서비스에만 연결해야 합니다.

기본 거부 방식의 이그레스 필터링은 터널링 및 명령·제어 트래픽을 제한할 수 있습니다. 또한 어플라이언스가 예기치 않은 대상에 연결할 때 유용한 경보를 생성합니다.

관리 액세스에는 지원되는 경우 피싱 저항성 다단계 인증이 필요해야 합니다. 로컬 계정은 최소화하고, 비상 계정은 보호 및 모니터링해야 합니다.

이러한 통제는 BT26-05-RS를 대체하지 않습니다. 취약점이 인증의 첫 번째 계층을 완전히 우회할 때 피해 범위를 줄여 줍니다.

Privileged Remote Access 고객도 주의해야 합니다. BeyondTrust는 PRA가 영향을 받은 코드를 공유하지만, 테스트에서는 해당 제품에서 작동하는 익스플로잇 경로를 확인하지 못했다고 밝혔습니다.

회사는 예방 차원의 PRA 패치를 배포하고 자체 호스팅 고객에게 설치를 권고했습니다. 이는 관찰된 공격이 CVE-2026-102764를 통해 PRA를 침해했다는 확인이 아니라 위험 기반 권고입니다.

긴급 대응에서는 명확한 범위 설정이 중요합니다. 팀은 확인되지 않은 PRA 악용을 확립된 사실로 설명해서는 안 되지만, 공유된 취약 코드도 무시해서는 안 됩니다.

CVE-2026-102764 이후 방어자가 주시해야 할 사항

다음 관건은 패치 도입이 더 광범위한 악용보다 빠르게 진행되는지, 그리고 조사가 공개 이전에 숨겨진 침입을 밝혀내는지 여부다.

첫 번째 신호는 자체 호스팅 Remote Support 어플라이언스의 패치 상태입니다. 보안팀은 승인된 변경 요청이나 예정된 유지보수 일정이 아니라 검증된 설치 상태를 추적해야 합니다.

노출된 시스템 수가 줄어들면 원래 캠페인을 모방하는 공격자의 기회도 감소합니다. 패치되지 않은 시스템이 계속 인터넷에서 보인다면 기회주의적 악용에 대한 예상은 더 커집니다.

두 번째 신호는 새로운 공격자 행위의 등장입니다. Mandiant는 SAWFLY, BARECLAW, 권한 조작, 로그 삭제 및 지원 세션 악용을 문서화했습니다.

다른 그룹이 정확히 같은 도구를 재사용할 필요는 없습니다. 새로운 웹셸, 요청 경로, 계정 또는 터널링 방식은 악용이 알려진 한 공격자 범위를 넘어섰음을 보여줄 수 있습니다.

따라서 방어자는 정확한 지표만이 아니라 행위 시퀀스를 헌팅해야 합니다. 예기치 않은 파일 생성 뒤 권한 변경과 관리 세션이 이어지는 패턴은 하나의 파일명보다 더 오래 유효합니다.

세 번째 신호는 포렌식 검토가 공개 이전 기간에 대해 무엇을 드러내는지입니다. 8월 또는 9월까지 거슬러 올라가는 추가 사례는 알려진 노출 기간과 영향을 받은 집단을 넓힐 수 있습니다.

그 증거는 천천히 나타날 수 있습니다. 어플라이언스 로그가 불완전할 수 있고, 하위 시스템 접근은 일반적인 지원 활동과 섞일 수 있습니다.

조사가 진행되는 동안 조직은 관련 기록을 보존해야 합니다. 짧은 로그 보존 기간은 시도된 익스플로잇과 완전한 네트워크 침입을 구분하는 데 필요한 증거를 지울 수 있습니다.

이번 사건은 자동화된 경보 분류에 대한 의문도 제기합니다. BeyondTrust는 센서가 의심스러운 권한 상승을 탐지했지만, 제3자 시스템이 경보를 오탐으로 종결했다고 보고했습니다.

보안팀은 자동화 시스템이 기각한 경보를 보존하고 주기적으로 검토해야 합니다. 낮은 신뢰도의 판단이 비정상적인 어플라이언스 행위를 위협 헌팅 범위에서 영구히 제외해서는 안 됩니다.

KEV 카탈로그는 여전히 중요한 우선순위 신호이지만, 카탈로그 등재를 대응의 시작점으로 삼아서는 안 됩니다. 확인된 공급업체 또는 사고 대응 증거는 CISA가 항목을 게시하기 전에도 조치를 정당화할 수 있습니다.

같은 원칙은 패치 이후에도 적용됩니다. 녹색 취약점 스캔은 수정된 소프트웨어를 확인할 뿐, 깨끗한 환경을 보장하지는 않습니다.

BeyondTrust Remote Support를 운영하는 조직의 즉각적인 조치는 분명합니다. BT26-05-RS 패치를 확인하고 그 결과를 문서화해야 합니다. 이전 설치 환경은 수정 사항을 받기 전에 업그레이드해야 합니다.

다음으로, 취약한 기간에 어플라이언스가 외부에서 접근 가능했는지 확인해야 합니다. 어플라이언스 외부 로그를 보존하고, 관리 변경을 검토하며, 의심스러운 모든 지원 세션을 하위 시스템까지 추적해야 합니다.

침해를 배제할 수 없다면 BeyondTrust 지원팀 및 사고 대응팀을 참여시키십시오. 의심스러운 어플라이언스는 재구축하고, 노출된 자격 증명을 교체하며, 이를 통해 접근한 엔드포인트를 검사해야 합니다.

BeyondTrust Remote Support 취약점은 궁극적으로 두 가지 대응 속도를 시험합니다. 하나는 취약점을 닫고, 다른 하나는 그 조치 이전에 무슨 일이 일어났는지 밝혀냅니다.

첫 번째 작업만 수행하는 조직은 두 번째 작업의 결과에 계속 노출됩니다. 귀사의 팀은 패치를 확인하고 있습니까, 아니면 신뢰할 수 있는 액세스 시스템이 계속 신뢰할 만했음을 입증하고 있습니까?