BeyondTrust 취약점을 악용한 웹쉘 및 백도어 유포와 데이터 유출 사고 분석
올해 초, 기업의 권한 관리와 원격 지원을 책임지는 BeyondTrust 솔루션에서 치명적인 취약점이 발견되었습니다. 보안을 강화하기 위해 도입한 솔루션이 오히려 해킹의 경로가 된 이번 사건을 통해, 고도화된 웹쉘(Web Shell) 위협과 능동적 방어의 중요성을 심층 분석합니다.
1. 사건 개요 및 발생 배경
2026년 2월 18일, 글로벌 보안 매체들은 BeyondTrust 제품군에서 발견된 최신 취약점이 실제 공격에 악용되고 있다고 경고했습니다. 공격자들은 기업이 원격 근무 환경 관리와 시스템 통제를 위해 사용하는 핵심 인프라의 허점을 정확히 파고들었습니다.
2. 취약점 상세 분석: CVE-2024-12356 & CVE-2026-1731
이번 사태는 단일 결함이 아닌, 기존 패치를 우회하는 연쇄적 보안 결함으로 인해 피해가 확산되었습니다.
| 취약점 번호 | CVSS 점수 | 주요 특징 | 위험성 분석 |
| CVE-2024-12356 | 9.8 (Critical) | WebSocket 입력값 검증 미흡 | 미인증 사용자의 원격 코드 실행(RCE) 허용 |
| CVE-2026-1731 | 9.9 (Critical) | 버전 파싱 및 명령 주입(Injection) | 기존 보안 패치를 우회하여 시스템 권한 탈취 |
공격자들은 2024년 말 발견된 취약점의 패치가 적용된 상태에서도, 동일한 엔드포인트 내의 또 다른 경로인 CVE-2026-1731을 악용하여 방어선을 무력화했습니다.
3. 웹쉘(Web Shell) 공격 시나리오
단순한 침입을 넘어 공격자가 어떻게 시스템에 ‘기생’하며 지속적인 위협을 가하는지, 전체적인 공격 흐름을 정리했습니다.
- 초기 침투 및 권한 장악: CVE-2026-1731 취약점을 통해 보안 솔루션의 경계선을 무력화하고 서버의 Root 권한을 탈취합니다.
- 이중 웹쉘(Dual-Track) 배포:
- PHP 백도어: 디스크에 파일을 남기지 않고 메모리에서 작동하여 일반적인 파일 스캔(AV)을 무력화합니다.
- Bash 드로퍼: 관리자가 웹쉘 파일을 찾아 삭제하더라도, 백그라운드에서 즉시 웹쉘을 다시 심어 공격 경로를 복구합니다.
- 지속적 제어권 획득: 확보된 루트 권한과 웹쉘 통로를 통해 외부 C2 서버와 연결을 유지하며, 언제든 후속 명령을 수행할 수 있는 ‘완전한 장악’ 상태를 만듭니다.
4. 왜 단순 보안 패치만으로는 부족한가?
많은 관리자가 취약점 패치(Patch)만으로 모든 조치가 끝났다고 안심하곤 합니다. 하지만 이번 사례처럼 공격이 이미 진행된 상황에서는 사후 조치 위주의 대응이 가지는 명확한 한계가 존재합니다.
- 실질적인 데이터 탈취: 웹쉘 설치에 성공한 공격자들은 시스템 명령을 통해 내부 데이터를 압축하고, PostgreSQL 데이터베이스 덤프 전체를 외부 서버로 유출하는 등 치명적인 정보 탈취를 감행했습니다.
- 2차 감염의 교두보: 확보된 권한을 이용해 VShell, Spark RAT과 같은 추가적인 원격 제어 악성코드(RAT)를 설치하여 네트워크 전체를 장악하는 단계로 나아갑니다. 이는 단순한 웹 서버 해킹을 넘어 기업 전체망의 붕괴로 이어질 수 있습니다.
5. 실시간 탐지 기반의 능동적 방어 체계가 필수
BeyondTrust 사례는 우리에게 명확한 교훈을 줍니다. 보안 솔루션조차 공격의 타겟이 될 수 있는 환경에서, 우리는 더 이상 완벽한 차단에만 의존할 수 없습니다. 이제는 ‘침입 이후의 행위’를 제어하는 데 역량을 집중해야 합니다.
- 실시간 감시의 필요성: 웹 서버 내 파일이 생성, 수정, 삭제되는 모든 과정을 실시간으로 모니터링하여 인가되지 않은 웹쉘 배포를 즉각 차단해야 합니다.
- 소스코드 레벨의 정밀 분석: 파일의 겉모습이 아닌, 실제 동작하는 코드의 악의적 의도를 분석하여 변종 웹쉘까지 잡아내는 전문 솔루션 도입이 시급합니다.
결국 보안의 핵심은 속도입니다. 공격자가 웹쉘을 통해 자리를 잡기 전, 그 찰나의 순간을 잡아내는 실시간 탐지만이 기업의 소중한 자산을 지킬 수 있는 최후의 보루입니다.
6. 다른 웹쉘 위협 사례 둘러보기
- 전 세계 900개 서버 장악한 EncystPHP 웹쉘
- 리눅스 서버 보안 비상: 쿠키로 조종하는 PHP 웹쉘 분석 (MS 보고서)
- Dell WMS 취약점, 관리자 권한 탈취 후 심어지는 ‘JSP 웹쉘’
- 웹쉘(Web Shell)과 내부망 이동: 서버 보안의 핵심 대응책
- 고질라 웹쉘, 헬스케어 보안 위협과 대응 방안
- 롯데카드 해킹과 웹쉘: 기업 보안을 위한 실시간 탐지의 중요성
- SK텔레콤 2,700만 건 유출의 주범, ‘웹쉘’을 방치한 결과는?