인증 토큰 노린 사이버 간첩 활동, 다국적 정보기관 연합 경보 발령
사용자 클릭 불필요한 악성 자바스크립트 기법에 보안망 무력화 우려

[보안뉴스 김형근 기자] 러시아 배후 해킹 조직이 ‘짐브라 콜라보레이션 스위트’(Zimbra Collaboration Suite)의 ‘제로클릭’ 취약점을 악용해 서방 국가 주요 기관을 공격한 정황이 포착됐다고 미국과 영국, 유럽, 호주, 뉴질랜드 등 정보기관 연합이 발표했다.


[출처: gettyimagesbank]

이번 공격을 주도한 조직은 ‘런드리 베어’(Laundry Bear)로 추정된다. 이들은 오픈소스 기반 웹메일 플랫폼인 ‘짐브라 콜라보레이션 스위트’(Zimbra Collaboration Suite)의 취약점(CVE-2025-66376)을 악용했다. 해당 취약점은 지난해 11월 패치가 배포됐지만, 업데이트를 적용하지 않은 기관들이 피해를 봤다.

해당 취약점은 이메일 열람과 동시에 악성 페이로드가 실행되는 제로클릭 기법을 활용한다. 해커들은 사전에 탈취한 이메일 계정을 이용해 악성 자바스크립트가 숨겨진 이메일을 발송하는데, 사용자가 링크를 클릭하거나 첨부파일을 다운로드하지 않아도 시스템을 장악한다.

이번 공격을 통해 런드리 베어는 최근 90일 분량의 이메일 내역과 비밀번호, 연락처 목록, 이중 인증(2FA) 토큰 등 민감한 인증 정보를 빼냈다. 금전적 목적을 띤 랜섬웨어 공격 정황은 발견되지 않았는데, 러시아 정부의 지원을 받는 사이버 첩보 활동으로 풀이된다.

팔로알토 네트웍스의 위협 연구팀 ‘유닛 42’와 프루프포인트 등 글로벌 보안 기업들에 따르면 런드리 베어는 우크라이나 해양 기관 등을 공격하며 해킹 기술을 검증했다. 이후 타깃을 미국, 북대서양조약기구(NATO) 회원국, 아프리카 지역의 방위, 교통, 금융 산업 기반으로 넓혀왔다.

네덜란드 정보기관은 지난해 5월 자국 경철청 해킹 사고의 배후로 런드리 베어를 지목한 바 있으며, 마이크로소프트 분석 결과 해당 조직은 최소 2024년부터 활동을 시작해 초기에는 단순 비밀번호 스프레이 및 전통적 피싱 수법을 주로 사용했다. 지난해부터 이메일 서버를 약탈하기 위한 XSS 기반의 고도화된 제로클릭 수법으로 공격 방식을 전환한 것으로 확인된다.

정보기관 연합과 보안 전문가들은 짐브라 웹메일 서비스를 운영 중인 모든 기관에 즉각적인 패치를 요구했으며, 당장 시스템 업그레이드가 불가능한 환경일 경우, 다른 이메일을 사용하도록 조치할 것을 강력히 권고했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>