SonicWall SMA 제로데이 체이닝 공격과 Inc 랜섬웨어 침투 경로 분석

2026년 7월, Dark Reading은 SonicWall의 Secure Mobile Access(SMA) 모바일 액세스 어플라이언스에서 패치되지 않은 제로데이 취약점 두 개가 체이닝되어 실제 침투에 사용된 뒤 Inc 랜섬웨어团伙가 내부망을 장악한 사례를 보도했다. 원격접속 게이트웨이를 통과한 공격은 곧바로 측면 이동(lateral movement)으로 이어질 수 있어, VPN과 모바일 액세스 인프라에 의존하는 한국 기업과 공공기관의 보안 담당자는 단순한 패치 적용을 넘어 운영 체계 전반의 점검 필요성에 직면했다. 본 기사는 공개된 정보를 토대로 공격의 기술적 흐름을 분석하고, 실무에서 즉시 적용 가능한 점검 항목과 중장기 대응 전략을 제시한다.

공격 개요: SonicWall SMA 제로데이와 Inc 랜섬웨어의 만남

Inc 랜섬웨어团伙의 최근 공격 캠페인에서 보도된 특징

Inc Ransomware는 파일 암호화 후 데이터를 유출해 이중 갈취(double extortion)를 요구하는 랜섬웨어 패밀리다. 최근 캠페인은 외부 공개된 익스플로잇 코드나 제로데이 취약점에 빠르게 편승하는 경향을 보인다고 보도되며, SonicWall SMA 제로데이의 경우 패치 공개 이전 단계부터 실전에서 사용된 것으로 다크리딩이 전한 바 있다. Dark Reading의 보도는 공격자가 두 취약점을 순차적으로 활용하는 체이닝 방식으로 침투 후 권한 상승까지 시도한 것으로 전해진다.

SonicWall SMA 사용 여부 자가 점검

한국 시장에서 SonicWall SMA는 중견기업, 공공기관, 원격근무 인프라를 보유한 일부 제조·금융·교육기관에서 VPN 대체 또는 보완 용도로 운영되는 사례가 보고된다. 보안팀은 다음 항목을 우선 확인해야 한다.

• 장비 모델명, 펌웨어 버전, 라이선스 만료일
• 관리 콘솔 노출 여부(외부 IP 직접 접근 가능 여부)
• 내부 사용자 AD/LDAP 연동 및 MFA 적용 여부
• 백업 정책 및 펌웨어 롤백 가능 여부

벤더 권고 패치 우선순위화

SonicWall은 자사 공식 보안 권고 채널을 통해 영향받는 펌웨어 버전과 패치 배포 일정을 안내한다(SonicWall 공식 보안 권고). 원격접속 게이트웨이의 특성상 패치 적용 시 서비스 중단이 동반될 수 있으므로, 업무 영향도와 위협 노출도를 함께 고려해 우선순위를 산정해야 한다.

기술 분석: 체이닝된 두 취약점의 동작 방식

첫 번째 취약점: 인증 우회 또는 원격 코드 실행 지점

첫 번째 취약점은 외부에서 접근 가능한 관리 인터페이스 또는 사용자 인증 경로에서 정상 자격 증명을 우회하거나 원격 코드 실행을 허용하는 형태로 악용된 것으로 추정된다. 제로데이의 특성상 IDS/IPS 시그니처가 존재하지 않으므로, 공격 시점에는 정상 트래픽과 구분하기 어렵다. 따라서 인증 로그의 비정상 패턴(예: 동일 IP의 반복 인증 실패 후 성공, 관리자 계정의 비업무 시간 로그인)을 사후 탐지의 단서로 활용해야 한다.

두 번째 취약점: 권한 상승을 통한 루트 탈취

두 번째 취약점은 첫 번째 침투 이후 커널 또는 시스템 서비스 영역에서 권한 상승(privilege escalation)을 일으키는 결함으로 보고된다. 이로써 공격자는 대상 SMA 장비의 루트 권한을 확보하고, 장비 내부에 저장된 사용자 세션, VPN 토큰, 내부 라우팅 정보에 대한 통제 가능성이 제기된다.

베이더 및 패치 적용 전 임시 완화책

공식 패치가 배포되기 전 단계에서 다음 항목을 임시 완화책으로 검토할 수 있다.

영향 평가: VPN 경계 침투가 왜 치명적인가

원격접속 게이트웨이 장악 시 사이드 무버먼트 위험

VPN/원격접속 게이트웨이는 본질적으로 신뢰 경계(trust boundary) 내부에 위치한다. 일단 SMA 장비가 루트 권한으로 장악되면 공격자는 합법적인 VPN 세션처럼 위장한 트래픽을 생성할 수 있고, 내부망 IDS/IPS는 이를 정상 업무 트래픽으로 오인할 가능성이 높다. 결과적으로 측면 이동의 탐지 지연과 확산 위험이 높아질 가능성이 있다.

데이터 유출과 이중 갈취 전략의 결합

Inc 랜섬웨어는 암호화 전에 데이터를 외부 C2로 유출한 뒤 협박에 활용하는 이중 갈취 모델을 채택한다. SonicWall SMA와 같은 원격접속 인프라가 침투 입구로 사용될 경우, 외부로 송신되는 데이터는 정상 사용자 세션 트래픽에 섞여 DLP(Data Loss Prevention) 정책을 우회할 수 있다. 이러한 이유로 단순 데이터 유출 탐지 정책만으로는 대응이 충분하지 않을 수 있으며, 세션별 데이터 전송량 상한과 비정상 대용량 송신 탐지 룰을 함께 적용요하다.

국내 산업별 노출 시나리오

원격근무 비중이 높은 IT·서비스업, 지사·공장 간 연결이 잦은 제조업, 다수 파트너사를 VPN으로 연결하는 금융·공공기관에서 영향이 클 것으로 분석된다. 특히 내부 시스템이 Active Directory 등 중앙 인증 체계에 강하게 결합된 조직일수록, 단일 게이트웨이 침투가 도메인 전체 확산으로 이어질 가능성이 커진다.

탐지 및 완화 권고

네트워크 행위 기반 탐지 시그니처

공개된 제로데이의 시그니처가 부족한 시점에서는 행위 기반 탐지(behavior-based detection)가 효과적이다. SMA 장비에서 발생할 가능성이 높은 이상 행위 후보는 다음과 같다.

• 관리자 권한으로 비정상적인 SSH/Telnet 세션 발생
• SMA 내부 프로세스가 외부 IP로 직접 연결을 시도
• 사용자 세션 IP가 단기간에 다수 국가/ASN으로 변경

호스트 기반 이상 징후 모니터링

SMA 장비는 베이스라인 대비 예외 상황이 적게 발생하는 전용 어플라이언스다. 따라서 프로세스 트리, 파일 시스템 변경, 사용자 계정 추가와 같은 호스트 기반 이벤트의 변동 폭이 작으며, 이를 활용한 탐지 룰이 비교적 명확한 임계치를 가질 수 있다. EDR 도입 대상은 일반 사용자 단말뿐 아니라 원격접속 게이트웨이와 같은 인프라 어플라이언스로 확장하는 것이 바람직해 보인다.

공급망 및 외부 연결 점검 절차

원격접속 게이트웨이는 외부 MSP(Managed Security Provider)나 SI 서비스 업체가 관리 권한을 보유하는 경우가 흔하다. 이번 사례와 같이 관리 채널이 외부에 노출될 경우 침투 경로가 다중화될 수 있으므로, 외부 협력사 접근 권한의 최소화와 정기 권한 검토가 필요하다.

국내 보안 담당자를 위한 액션 아이템

즉시 수행해야 할 점검 체크리스트

• SonicWall SMA 운영 여부 및 펌웨어 버전 식별, 최신 권고 적용 여부 확인
• 관리 콘솔 외부 노출 차단, 비활성 계정 정리, MFA 즉시 적용
• 최근 30일간 인증 로그 및 비정상 세션 로그 집중 검토
• 백업 및 펌웨어 롤백 절차 사전 검증, 패치 윈도우 확보

중기 로드맵: 제로데이 대응 체계 강화

제로데이는 침투 시점과 패치 시점 사이의 시간차(Time-to-Patch)가 곧 조직의 노출 시간이 되는 특징을 가진다. 따라서 위협 인텔리전스 피드를 자동 수집해 자사 자산과 매칭하는 CTEM(Continuous Threat Exposure Management) 체계를 도입하고, 자산 중요도 기반 패치 SLA를 재정의할 필요가 있다.

장기 전략: 제로트러스트 접근 통제 도입

단일 게이트웨이의 침투가 전체 내부망 침투로 이어지지 않도록, 사용자·디바이스·세션 단위로의 미세 분할(segmentation)과 매 접속 시 권한을 재검증하는 제로트러스트 원칙을 원격접속 인프라에도 단계적으로 적용하는 것이 권고된다. SonicWall SMA 자체의 보안 강화뿐 아니라, 이를 통과한 후 도달하는 내부 자원에 대한 추가 통제 설계가 함께 이뤄져야 효과적인 방어가 가능하다.

본 글은 Dark Reading의 원문 보도와 SonicWall 공식 보안 권고 페이지를 1차 자료로 활용했으며, 한국 환경에 대한 평가는 공개된 위협 동향과 일반적인 운영 관행을 근거로 한 분석 의견이다(Dark Reading 원문 기사).