IT 맨디언트, 이반티 VPN 취약점 악용한 중국 연계 그룹 추적

맨디언트가 이반티 커넥트 시큐어(Ivanti Connect Secure, ICS) VPN 어플라이언스의 취약점을 악용한 공격 사례를 분석한 결과, 중국과 연계된 사이버 스파이 그룹 UNC5221의 활동 정황이 포착됐다. 이번 조사는 이반티 협력 하에 진행됐으며 대응을 위한 새로운 보안 권고 사항도 함께 발표됐다. 문제가 된 취약점(CVE-2025-22457)은 초기에는 서비스 거부(DoS) 공격에 그치는 것으로 간주됐지만, 맨디언트는 UNC5221이 ICS 22.7R2.6 패치를 분석해 구버전에서 원격 코드 실행이 가능하다는 점을 파악했을 가능성이 높다고 밝혔다. 실제 공격은 3월 중순부터 시작된 것으로 확인됐다. 패치가 배포된 이후에도 이를 적용하지 않은 시스템을 노린 ‘엔데이(N-day)’ 공격이 활발히 발생하고 있다. 이에 따라 ICS 22.7R2.5 이하 버전 사용자들에게는 즉시 패치 적용이 강력히 권고되고 있다. 이번 공격에서 UNC5221은 메모리에 상주하는 신규 멀웨어 패밀리를 활용한 것이 특징이다. ‘TRAILBLAZE’는 백도어를 주입하는 경량 드로퍼이며, ‘BRUSHFIRE’는 SSL 기능을 통해 명령을 수신하는 수동 백도어다. 공격자는 다

• 구서경 기자
• 2025-04-04 16:29