중국 연계 위협그룹, Roundcube 취약점 악용해 학계 연구자 정찰 캠페인 수행

캠페인 개요

2026년 5월 이후로 미국과 캐나다 소재 대학의 물리학·공학 학과를 중심으로 한 정찰 캠페인이 관측된 것으로 보고됐습니다. Bleeping Computer의 7월 8일 보도에 따르면, 이번 공격은 중국 연계 위협 클러스터가 Roundcube 웹메일 서버의 알려진 취약점을 무기로 삼아 수행한 것으로 분석됩니다. 캠페인의 핵심 목적은 단순한 정보 유출이 아니라 연구 네트워크 내부로의 장기 침투 기반 확보로 보입니다.

중국 연계 위협그룹의 학술 표적화 배경

국가 연계 위협 행위자는 최소 10년 이상 학술·연구 기관을 지식 탈취의 1차 표적으로 활용해 온 것으로 보고돼 있습니다. 특히 첨단 물리·이공학 분야는 산업·군사 기술 전환 잠재력이 높아 정찰 가치가 높은 것으로 평가됩니다. 이번 캠페인 역시 연구 협력 메일 흐름을 자연스러운 표적 경로로 채택한 것으로 분석됩니다.

2026년 5월 이후 확인된 공격 시점과 범위

Bleeping Computer는 캠페인 시작 시점을 2026년 5월로 명시했습니다. 약 2개월간 지속된 초기 단계는 정찰과 인증 정보 수집에 집중된 것으로 해석되며, 최근 들어 백도어 배포 시도가 동반된 것으로 관측됩니다. 6월 말 기준 피해 표적은 미·캐나다 소재 대학 다수 기관으로 확산된 것으로 보입니다.

공격 기술 분석

이번 캠페인의 기술적 특징은 웹메일 서버의 취약한 입력 검증 구간을 다단계 악용해 자격증명을 추출하고, 이후 보조 페이로드로 백도어를 설치하는 흐름입니다. Roundcube는 학술 기관에서 널리 운영되는 오픈소스 메일 솔루션으로, 단일 취약점 노출이 기관 전체의 메일 트래픽 신뢰성을 훼손할 수 있는 구조적 특성을 갖습니다.

악용된 Roundcube 취약점과 침투 경로

공격자는 XSS 계열 결함을 포함한 Roundcube의 기존 취약점 중 패치가 지연된 인스턴스를 집중 공략한 것으로 분석됩니다. 침투 경로는 연구자가 일상적으로 이용하는 웹메일 로그인·메일 미리보기 화면이며, 악성 스크립트가 메일 본문 또는 첨부 처리 과정에서 실행되도록 설계된 것으로 보입니다. The Hacker News는 유사한 위협 그룹이 과거에도 동일 제품의 결함을 반복 악용해왔다고 전한 바 있습니다.

자격증명 탈취 및 백도어 배포 흐름

1단계에서는 메일 세션·세션 쿠키 탈취로 연구자 계정을 장악하고, 2단계에서는 백도어 스크립트를 통해 장기 접속 채널을 확보합니다. 백도어는 정상 메일 처리 흐름에 위장해 동작해 단순 로그 기반 탐지를 우회하려는 시도가 포함된 것으로 보입니다. 결과적으로 공격자는 메일함 접근권은 물론 연구자 워크스테이션으로의 횡적 이동 기회까지 확보할 수 있습니다.

피해 영향과 표적 선정

이번 캠페인의 피해 영향은 단순한 메일 계정 침해를 넘어 연구 협업 네트워크와 잠재적 지식재산권 유출 위험까지 확장됩니다. 표적 선정 역시 무작위가 아니라 연구 가치가 높은 학과와 외부 공동연구가 활발한 교수진으로 좁혀진 것으로 분석됩니다.

물리학 및 공학 학과 집중의 의미

물리학·공학 분야는 첨단 소재, 양자, 반도체, 우주항공 등 민감 기술과 직결됩니다. 정찰 단계에서 우선 확보한 메일 데이터는 향후 표적 맞춤형 피싱과 협업 사칭 공격의 기반으로 활용될 가능성이 큽니다. 단순 계정 탈취보다도 메일함 내 발신·수신 메타데이터의 전략적 가치가 더 부각되는 것으로 해석됩니다.

미국과 캐나다 대학으로 확산된 지역적 범위

표적이 미·캐나다 양국으로 분포한다는 것은 다국가 학술 협업 구조를 활용한 횡적 이동 가능성을 시사합니다. 공동연구 메일 체인을 악용할 경우, 1차 표적 대학을 발판으로 2차 피해 기관으로 침투가 확산될 가능성이 있습니다. 이러한 특성상 단일 기관의 대응만으로는 피해 확연을 차단하기 어렵습니다.

탐지 및 대응 권고

기술적 대응과 조직적 거버넌스 강화가 동시에 추진되지 않으면 유사 캠페인이 반복될 가능성이 높습니다. 특히 오픈소스 메일 인프라를 운영하는 학술 기관은 패치 적용뿐 아니라 IOC 기반의 능동적 모니터링 체계를 갖출 필요가 있습니다.

웹메일 패치 및 IOC 점검 핵심 항목

우선 Roundcube를 최신 안정 버전으로 즉시 업데이트하고, 공식 보안 권고에서 제시한 취약 패치를 우선 적용해야 합니다. 동시에 다음 표의 핵심 항목을 점검해야 합니다.

학술 기관을 위한 보안 거버넌스 강화 제안

기술적 조치와 별도로 기관 차원의 거버넌스 개선이 필요합니다. 첫째, 오픈소스 메일 인프라의 패치 주기를 72시간 이내 단기 SLA로 정의해 위험 노출 시간을 최소화해야 합니다. 둘째, 연구 단위별 위험 등급을 부여하고 고위험 학과에 대한 집중 모니터링과 보안 교육을 우선 제공해야 합니다. 셋째, 국가 연계 위협 시나리오를 포함한 정기 모의 침투 훈련을 운영해 탐지·대응 역량을 검증해야 합니다.

마지막으로, 단일 기관에 국한되지 않은 위협 정보 공유가 중요합니다. The Hacker News 등 권위 있는 보안 미디어를 통해 공개된 IOC와 침해 지표는 동종업계 ISAC과 상호 공유되어야 합니다. 이를 통해 국내·국외 학술 기관이 공동으로 정찰 캠페인의 초기 신호를 조기 탐지할 수 있을 것으로 분석됩니다.

참고 출처: Bleeping Computer 원문 기사 · The Hacker News