TrueConf 업데이트 무결성 검증 취약점과 공급망 공격 대응

2026년 초 Check Point Research는 동남아시아 정부 기관을 겨냥한 사이버 첩보 작전, Operation TrueChaos를 공개했다. 공격자는 TrueConf 클라이언트 업데이트 경로의 제로데이 취약점인 CVE-2026-3502를 이용해 악성 인스톨러를 배포했다. 업데이트 패키지의 코드 서명 검증 부재가 정부 네트워크 침투의 확산 경로가 됐다.

업데이트 채널에서 발생한 CVE-2026-3502

CVE-2026-3502는 TrueConf 클라이언트의 업데이트 검증 과정에서 무결성 확인이 빠져 발생한 임의 파일 실행 취약점이다. CVSS 점수는 7.8(High)이며, CWE 분류는 업데이트 패키지의 무결성·인증 검증 부재다.

Check Point Research가 발견했으며, 영향 범위는 TrueConf Windows 클라이언트 8.5.3 이전 버전이다. 공격 유형은 소프트웨어 공급망 공격에 해당한다.

클라이언트는 업데이트 패키지를 내려받아 실행하기 전에 코드 서명이나 해시 무결성 검증을 수행하지 않았다. 공격에는 온프레미스 TrueConf 서버에 대한 접근 권한이 필요하며, 서버 장악 또는 네트워크 MITM이 전제될 수 있다. 이 신뢰 관계를 악용하면 개별 엔드포인트를 각각 침투하지 않고도 연결된 클라이언트를 일괄 감염시킬 수 있다.

보안 검증 요소	취약 버전 상태	패치 후 상태
코드 서명 검증	미구현	인증서 기반 검증
해시 무결성 확인	미구현	SHA-256 검증
TLS 인증서 핀닝	미구현	서버 인증서 고정
업데이트 롤백 보호	미구현	버전 다운그레이드 차단

Operation TrueChaos가 이용한 신뢰 경로

피해 대상은 동남아시아 정부 기관 다수였고, 공격은 2026년 초 처음 탐지됐다. 위협 행위자는 중국 연계 APT 그룹으로 중간 신뢰도로 추정됐다.

귀속 판단에는 중국 연계 APT의 대표적 TTP로 언급되는 DLL 사이드로딩, 알리바바 클라우드와 텐센트 호스팅 기반 C2 인프라, 중국의 전략적 이해관계와 부합하는 동남아 정부 기관 표적이 근거로 제시됐다.

⤢✕

공격자는 먼저 피해 조직의 온프레미스 TrueConf 서버에 침투했다. 이후 서버가 제공하는 업데이트를 신뢰하는 클라이언트 경로를 장악해, 정상 업데이트처럼 보이는 악성 인스톨러를 연결된 전체 엔드포인트에 푸시했다.

인스톨러는 7z-x64.dll DLL 백도어를 사이드로딩했고, Havoc 프레임워크 기반 C2 채널을 수립한 뒤 추가 공격을 수행했다.

Havoc C2로 이어진 포스트 익스플로잇

Havoc는 Cobalt Strike의 대안으로 공격자들 사이에서 인기가 높아진 오픈소스 Command & Control(C2) 프레임워크다. 오픈소스이므로 커스터마이징이 쉽고, 기존 보안 솔루션의 탐지 시그니처가 미비하다는 점이 선택 이유로 언급됐다.

DLL 사이드로딩은 정상 프로세스 컨텍스트에서 페이로드를 실행해 EDR 탐지를 회피하는 데 사용됐다. 이후 수행 활동에는 네트워크 정찰과 Active Directory 열거, 레지스트리 및 서비스 기반 지속성 확보, 추가 페이로드 다운로드와 횡적 이동이 포함됐다.

⤢✕

업데이트 메커니즘에 필요한 통제

CVE-2026-3502는 SolarWinds(2020), Kaseya(2021), 3CX(2023)에 이어 업데이트 메커니즘이 공급망 공격의 지속적인 표적임을 다시 보여준다.

업데이트 패키지에는 벤더 코드 서명 인증서 검증을 클라이언트 측에서 강제해야 한다. 업데이트 매니페스트와 실제 바이너리의 해시 일치 여부도 독립적으로 검증할 필요가 있다. 업데이트 서버 통신에는 TLS 인증서 핀닝을 적용해 MITM을 막고, 업데이트 프로세스는 필요한 최소 권한으로만 실행하도록 제한한다.

빌드 단계에서는 소스 코드에서 동일한 바이너리를 재현할 수 있는 Reproducible Builds 파이프라인을 구성할 수 있다. SBOM(Software Bill of Materials)을 공개해 소프트웨어 구성 요소의 공급망 가시성을 확보하는 방식도 함께 검토 대상이다.

탐지와 대응의 우선순위

CVE-2026-3502는 2026년 4월 2일 CISA KEV 카탈로그에 추가됐고, FCEB 기관의 패치 기한은 2026년 4월 16일이다. TrueConf Windows 클라이언트는 8.5.3 이상으로 업데이트해야 한다.

Check Point Research가 공개한 C2 IP, 도메인, 파일 해시로 네트워크와 엔드포인트를 스캔하고, 비정상적인 경로에서 로드되는 DLL을 대상으로 EDR 규칙을 강화할 수 있다. 온프레미스 소프트웨어의 업데이트 서버 무결성을 정기적으로 점검하고, 관리 서버와 사용자 엔드포인트 사이의 네트워크 분리도 강화해야 한다.

업데이트 채널은 단순 배포 경로가 아니라 조직 전체의 신뢰 경계다. 코드 서명 검증의 부재는 단일 서버 장악을 전체 네트워크 침투로 확대시킬 수 있으므로, 사용 중인 소프트웨어의 업데이트 메커니즘과 공급망 보안 체계를 함께 감사해야 한다.