中 해커, 패치 미적용 시스템 노려…"VPN 공격 활발"

구글 맨디언트, 취약점 조사 발표

중국 사이버 스파이 그룹이 패치 미적용 시스템을 노린 '엔데이' 공격을 활성화한 정황이 드러났다. 

구글 맨디언트는 이반티와의 공동 조사를 통해 CVE-2025-22457 취약점과 이를 악용한 공격 활동을 분석한 결과를 발표했다고 6일 밝혔다. 이번 조사는 보안 권고사항을 포함하고 있으며 취약점에 대한 패치가 배포된 후에도 패치 미적용 시스템을 대상으로 한 엔데이 공격이 활발히 진행 중인 것으로 드러났다.

CVE-2025-22457은 이반티 커넥트 시큐어(ICS) 버전 22.7R2.5 이하에서 제한된 문자 공간으로 인해 발생하는 버퍼 오버플로우 취약점이다. 당초 서비스 거부(DDoS) 정도로 평가됐지만 공격자는 이를 원격 코드 실행으로 전환할 수 있음을 확인했다.

중국 사이버 스파이 그룹이 패치 미적용 시스템을 노린 '엔데이' 공격을 활성화한 정황이 드러났다. (사진=코파일럿)

맨디언트는 중국 연계 해킹 그룹인 UNC5221이 이 취약점을 분석해 2월 패치 이전 버전에서 악성코드를 실행할 수 있음을 인지했을 가능성이 높다고 판단했다. 실제 공격은 3월 중순부터 시작된 것으로 조사됐다.

해당 그룹은 엣지 디바이스에 상주하는 멀웨어를 활용해 정교하게 공격을 감행한 것으로 분석됐다. '트레일블레이즈(TRAILBLAZE)'는 메모리에서 작동하는 드로퍼이며 '브러시파이어(BRUSHFIRE)'는 보안 프로토콜 'SSL'을 이용해 은밀히 명령을 수신하는 백도어다.

공격자는 쉘 스크립트를 다단계로 실행해 메모리에 직접 악성코드를 삽입하는 방식으로 탐지를 회피했다. 이후 자격 증명 탈취와 네트워크 침입, 데이터 유출까지 가능해지는 구조다.

맨디언트는 "이번 공격이 단순 기술적 침해를 넘어서 엣지 디바이스 보안의 중요성을 환기시키는 계기"라고 지적했다. 이어 "현재 ICS 시스템에 대한 공격이 이어지고 있어 기업들의 즉각적인 패치 적용이 시급하다"고 강조했다.