Cisco SD-WAN 제로데이 연쇄와 DragonForce RMM 침투 대응

6주 동안 이어진 SD-WAN 공격 표면 전환

2026년 4월부터 5월까지 6주 동안 Cisco SD-WAN 인프라를 겨냥한 여섯 개의 제로데이 취약점이 실제 공격에 연속 사용됐다. 보안 연구 커뮤니티는 이 캠페인을 "Nightmare-Eclipse"라고 부르며, 다단계 네트워크 침투 작전으로 분류한다.

같은 시기 DragonForce 랜섬웨어 그룹은 SimpleHelp의 권한 상승 취약점을 초기 침투에 활용했다. 두 활동은 별개의 캠페인이지만, 인터넷 경계에 놓인 네트워크 장비와 정상 원격 관리 도구를 공격 입구로 삼는다는 점에서 닮아 있다.

첫 주인 4월 1-7일에는 vBond 오케스트레이터의 DTLS 핸드셰이크 검증 로직 결함이 악용됐다. 인터넷에 노출된 vBond 인스턴스를 대상으로 인증 없이 터널을 수립할 수 있는 문제였다.

4월 8-14일에는 vSmart 컨트롤러의 OMP(Overlay Management Protocol) 경로 주입 취약점이 등장했다. 공격자가 제어하는 라우팅 정책을 정상 SD-WAN 오버레이에 삽입하는 방식이다.

4월 15-21일에는 vManage REST API의 인가 우회 결함인 CVE-2026-20127 계열이 사용됐다. 관리 플레인에서 디바이스 설정 파일을 탈취하고 백도어 계정을 만들 수 있었다.

4월 22-28일에는 Cisco IOS XE 기반 vEdge 라우터의 CLI 파서 버퍼 오버플로우가 악용됐다. 로컬 접근 권한을 루트 권한으로 올리는 취약점이다.

4월 29일 - 5월 5일에는 vManage 클러스터 간 내부 API 엔드포인트의 SSRF(Server-Side Request Forgery) 결함이 사용됐다. 내부 마이크로서비스에 접근하고 자격증명을 수집하는 경로가 됐다.

마지막으로 5월 6-14일에는 vdaemon 서비스의 DTLS 신뢰 검증 실패인 CVE-2026-20182가 악용됐다. CVSS는 10.0이며 Cisco가 패치한 여섯 번째 제로데이였다.

이 행위자는 패치가 발표된 뒤 24-72시간 안에 다음 제로데이로 옮겨 갔다. 여러 취약점을 미리 보유하고 순차적으로 쓰는 "취약점 재고(Vulnerability Inventory)" 전술을 시사한다. 표적도 에너지·제조·물류 분야의 대형 SD-WAN 배포 환경에 집중됐으며, C2 통신은 정상 관리 트래픽으로 위장하고 디스크 기반 악성코드 배포는 최소화했다.

여러 사이버 보안 기관은 중요 인프라 정찰을 전문으로 하는 국가 지원 APT 행위자와의 연관 가능성을 평가하고 있다. 다만 공식적인 국가 귀속은 아직 이루어지지 않았다.

오케스트레이션부터 엣지까지 이어지는 침투 경로

Cisco SD-WAN은 오케스트레이션(vBond), 컨트롤(vSmart), 관리(vManage), 데이터(vEdge/cEdge)의 4개 플레인으로 구성된다. Nightmare-Eclipse는 이 플레인을 순환하며 접근 범위와 권한을 넓혔다.

vdaemon은 세 차례 공격에서 반복적으로 나타났다. 컨트롤 플레인 피어링과 오버레이 관리 통신에 핵심인 서비스이며, 인터넷 노출이 불가피한 구조적 특성이 있다. Cisco는 캠페인 이후 vdaemon 서비스 전반을 보안 검토하고 있으나, 아키텍처를 바꾸지 않고 근본적으로 해결하기 어렵다는 평가가 지배적이다.

⤢✕

각 결함은 독립적으로도 위험하지만, 위협의 핵심은 연결 순서에 있다. vBond 인증 우회로 오버레이 네트워크 지도를 파악하고, OMP 경로 주입으로 트래픽을 중간에서 가로채며, vManage 인가 우회로 엣지 디바이스 설정을 얻는다. 이 세 단계만으로 전체 WAN 환경의 가시성과 통제권이 공격자에게 넘어갈 수 있다.

패치 뒤에도 접근을 유지하기 위해 공격자는 내부 서비스 계정인 vmanage-admin, vbond-admin의 ~/.ssh/authorized_keys에 제어 중인 공개키를 삽입한다. vManage REST API를 통해 내부 서비스 계정처럼 보이는 백도어 관리자 계정을 만들고, 디바이스 템플릿에 악성 스크립트 훅을 넣어 다음 설정 배포 때 실행되게 할 수도 있다. 컨트롤 플레인에 주입된 OMP 정책은 일부 구현에서 오케스트레이터 재시작 뒤에도 지속되는 것으로 확인됐다.

DragonForce가 RMM 접근권을 유통하는 방식

DragonForce는 2023년 말 처음 등장한 랜섬웨어 그룹이다. 자체 암호화 엔진과 다중 갈취(Double/Triple Extortion) 전술을 특징으로 하며, 2024년 이후에는 RaaS(Ransomware-as-a-Service) 모델로 전환해 어필리에이트 네트워크를 넓혔다. 2026년 현재 주요 표적은 에너지·제조·MSP(Managed Service Provider) 분야다.

이 그룹의 협박 플랫폼은 유출 사이트와 협상 포털을 따로 운영한다. 피해자가 협상 기한을 지키지 않으면 데이터를 부분 공개하는 "점진적 압박" 전술도 사용한다. 2025-2026년 동안 영국·중동·아시아태평양 지역에서 60여 건의 공격이 확인됐다.

2026년에는 SimpleHelp 취약점을 쓰는 초기 접근 브로커(Initial Access Broker, IAB)와의 연계가 확인됐다. IAB가 기업 내부 접근권을 확보한 뒤 DragonForce 어필리에이트에게 판매하고, RMM의 정상 세션처럼 보이는 명령 실행이 탐지 회피 수단이 된다.

⤢✕

SimpleHelp 체인이 관리자 권한으로 이어지는 지점

SimpleHelp는 MSP와 IT 지원 부서에서 사용하는 원격 접근 및 지원 도구다. Horizon3.ai는 2024년 1월 다음 세 가지 중요 취약점을 공개했다.

CVE-2024-57726: 권한 없는 사용자가 서버의 임의 파일을 다운로드할 수 있는 정보 노출 취약점이며 CVSS는 7.5다.
CVE-2024-57727: 인증 없이 원격 파일을 서버에 업로드할 수 있는 비인증 파일 업로드 취약점이며 CVSS는 9.8이다.
CVE-2024-57728: 관리자 계정이 원격 코드 실행(RCE)으로 서버에서 임의 명령을 실행할 수 있는 권한 상승 취약점이며 CVSS는 8.8이다.

DragonForce가 활용하는 체인은 CVE-2024-57727로 악성 관리자 계정 설정 파일을 올린 뒤, CVE-2024-57728으로 시스템 레벨 명령을 실행하는 2단계 연쇄다. 공개 PoC(Proof of Concept) 코드가 존재하기 때문에 기술 수준이 낮은 어필리에이트도 활용할 수 있다.

정상 운영 중인 SimpleHelp 환경에서 이 문제가 특히 위험한 이유는 RMM 트래픽이 보안 제품에서 신뢰되는 경향이 있기 때문이다. 공격자는 Shodan·Censys로 기본 포트 HTTPS 443, HTTP 80에 노출된 서버를 찾고, CVE-2024-57727을 통해 관리자 계정 해시가 담긴 설정 파일을 바꾼다. 제어 중인 패스워드 해시로 관리자 계정을 탈취한 다음 CVE-2024-57728을 이용해 SYSTEM 또는 root 권한 명령을 실행한다.

이 시점에는 SimpleHelp 서버 호스트뿐 아니라 그 서버가 관리하는 모든 엔드포인트에 접근할 수 있다. 이후 정상 원격 세션 기능으로 명령을 전파하면, 일반 IT 지원 활동과 구별하기가 어렵다.

SD-WAN과 원격 유지보수가 OT 경계를 우회할 때

SD-WAN은 공장·물류 센터·현장 설비와 기업 IT 네트워크를 잇는 핵심 인프라가 됐다. 컨트롤 플레인이 장악되면 연결된 OT 세그먼트로 향하는 논리적 접근 경로가 생길 수 있다.

SD-WAN 오버레이는 IEC 62443·ISA-99 기반 퍼듀 모델(Purdue Model)이 권고하는 계층 분리를 우회하는 통로가 될 수 있다. vManage에서 배포하는 라우팅 정책이 변조되면 원래 분리돼야 할 SCADA/DCS 네트워크 세그먼트와 IT 네트워크 사이에 직접 통신 경로가 만들어질 수 있다.

제조·에너지 기업의 OT 환경에는 장비 벤더 원격 유지보수를 위한 RMM 도구가 넓게 배포돼 있다. SimpleHelp·AnyDesk·TeamViewer가 PLC·HMI 시스템의 유지보수 채널로 쓰일 경우, 이 도구의 취약점은 OT 침투의 직접적인 진입점이 된다.

DragonForce는 MSP를 통한 공급망 공격에서 이 구조를 활용했다. MSP의 SimpleHelp 서버를 탈취하면 그 MSP가 서비스하는 수십-수백 개 고객사의 시스템에 동시 접근할 수 있다. 독립적인 OT 보안 체계 없이 MSP에 전적으로 의존하는 소규모 제조업체에서는 피해가 더 커질 수 있다.

관리 플레인 분리와 네트워크 이상 탐지

Nightmare-Eclipse는 SD-WAN 관리·컨트롤 플레인이 데이터 플레인과 같은 네트워크 경계 안에 있는 설계 문제를 드러냈다. 제로트러스트 원칙을 적용할 때는 관리 플레인을 독립된 관리 전용 네트워크(OOB 망)로 분리하고, 프로덕션 데이터 플레인에서는 vManage UI·API 포트에 직접 접근하지 못하게 해야 한다.

vBond와 vSmart는 사전 등록된 vEdge/cEdge 기기의 IP·인증서만 허용하는 화이트리스트 방식으로 운영한다. NAT·CGNAT 환경에서는 공개키 핀닝(Certificate Pinning)을 추가 적용한다. 본사 IT, 지점 IT, OT Zone 1, OT Zone 2처럼 오버레이 내 세그먼트도 VPN 분리와 정책 기반 접근 제어로 나누고, 세그먼트 간 통신은 중앙 정책 엔진의 승인을 받도록 구성한다.

⤢✕

탐지 엔진은 알 수 없는 출처의 OMP 경로 업데이트, 예기치 않은 경로 추가·삭제, BGP 피어링 플래핑을 봐야 한다. 비업무 시간대 설정 변경 API 호출, 알 수 없는 소스 IP의 REST API 접근, 계정 생성·삭제 이벤트도 vManage 이상 신호다. 사전 등록되지 않은 피어 IP의 DTLS 핸드셰이크 시도, 연결 실패 급증, 비정상 패킷 크기 분포는 vdaemon 연결 이상으로 다룬다.

권한 상승 통제도 관리 플레인 설계에 포함해야 한다. vManage 관리자 계정은 읽기 전용·쓰기·전체 관리 권한을 분리하고, 일상 운영에는 읽기 전용 계정을 쓴다. 내부 서비스 계정의 authorized_keys는 중앙에서 관리·감사하며 자동화 파이프라인 밖의 수동 키 추가는 즉시 알린다.

TCP 830(NETCONF) 및 RESTCONF 포트는 승인된 자동화 시스템 IP 외의 접근을 방화벽에서 막는다. vManage CLI 명령은 중앙 SIEM으로 보내고, config, delete, create-user 같은 특권 명령은 즉시 알림 대상으로 둔다.

RMM 세션을 감사하고 격리하는 흐름

RMM 도구는 운영에 필수지만 보안 사각지대가 되기 쉽다. CISA·FBI는 2023년부터 RMM 도구 악용에 대한 공동 경보를 반복적으로 발령하고 있다.

승인된 RMM 도구인 SimpleHelp·AnyDesk·TeamViewer·ConnectWise 등의 인스턴스는 CMDB에 등록하고 버전·패치 상태를 자동 추적한다. RMM 서버의 인바운드·아웃바운드 연결은 NDR(Network Detection and Response)로 모니터링하며, 관리 대상 엔드포인트에서 서버로 향하는 비정상 연결 패턴을 확인한다.

원격 세션의 시작·종료·전송 명령은 중앙 SIEM으로 모으고 세션 녹화(Session Recording)를 활성화한다. 운영자별 정상 작업 패턴을 기준선으로 만든 뒤, 비정상 시간대·대상 시스템·명령 패턴을 UEBA로 탐지한다.

⤢✕

단일 세션에서 비정상적으로 많은 파일이 업로드되는 경우는 공격 도구 전달 신호일 수 있다. RMM 세션 중 cmd.exe·PowerShell 실행, 레지스트리 수정, 서비스 생성·삭제 명령이 발생하는지도 봐야 한다. 한 세션이 여러 엔드포인트에 단시간 내 연결하거나, 새벽·공휴일에 예외적 세션이 시작되거나, 기존에 없던 관리자 계정 생성 뒤 RMM 세션이 열리는 상황도 조사 대상이다.

암호화 전에 포착해야 하는 활동

DragonForce와 유사 그룹은 랜섬웨어를 배포하기 전에 선행 행동을 수행한다. 이 단계에서 차단하면 암호화 피해를 완전히 예방할 수 있다.

BloodHound·SharpHound 실행: 액티브 디렉터리 정찰 도구 실행을 프로세스 이름·명령행 인수·네트워크 LDAP 쿼리 패턴으로 탐지한다.
볼륨 섀도 복사본 삭제: vssadmin delete shadows 또는 WMI를 통한 VSS 삭제 시도를 확인한다. 이는 랜섬웨어 배포 수 분 전에 발생하는 결정적 신호다.
대규모 GPO 변경: 도메인 컨트롤러에서 단시간 내 다수의 GPO가 생성·수정되는지 본다. DragonForce는 GPO로 랜섬웨어를 전체 도메인에 배포한다.
백업 시스템 접근: 백업 서버(Veeam·Commvault·Backup Exec)에 대한 이례적 인증 시도 또는 백업 작업 삭제를 탐지한다.
대용량 외부 데이터 전송: 데이터 압축·암호화와 대용량 아웃바운드 트래픽, Rclone·MEGASync·curl 기반 전송 도구 실행을 확인한다.
방어 도구 비활성화 시도: Windows Defender·EDR 에이전트 중지 명령, 방화벽 규칙 대규모 변경, 이벤트 로그 삭제를 추적한다.

이 신호들은 SIEM·EDR·NDR 통합 감시에서 개별 이벤트가 아니라 상관 분석(Correlation)으로 다뤄야 한다. 단일 지표에는 오탐이 생길 수 있지만, 3개 이상의 지표가 같은 호스트 또는 같은 세션에서 단시간 내 발생하면 거의 확실한 랜섬웨어 사전 활동으로 판정할 수 있다.

SD-WAN 컨트롤 플레인의 OOB 격리, RMM 세션 전수 감사와 이상 탐지, 랜섬웨어 선행 행동의 상관 분석은 함께 설계해야 한다. OT/IT 융합 환경에서는 네트워크 경계 장비 하나의 침해가 생산 설비 전체의 운영 중단으로 이어질 수 있다. Cisco의 SD-WAN 보안 아키텍처 가이드라인과 CISA의 알려진 악용 취약점(KEV) 카탈로그를 기준으로, 네트워크 경계 장비와 원격 관리 도구를 우선 공격 표면으로 관리할 필요가 있다.