2019년에 나온 패치를 적용하지 않은 서버가, 2023년 미 연방기관에 이어 이번엔 국내 보안업체 리포트에서도 뚫렸다.
새 취약점 이름이 매주 쏟아지지만, 이번 침해의 시작점은 6년 전인 2019년에 이미 공개된 구멍이었다. AhnLab 시큐리티대응센터(ASEC)가 2026-09-27 공개한 공격 사례 두 건 모두, 패치되지 않은 Telerik UI for ASP.NET AJAX 서버를 대상으로 했다. 근본 원인은 — RadAsyncUpload 기능의 .NET 역직렬화 결함이다. 새로 뚫린 게 아니라, 오래전에 뚫린 문이 여태 닫히지 않은 것에 가깝다.
첫 번째 사례는 침투부터 지속성 확보까지 이어지는 전형적인 흐름을 보였다. 공격자는 RadAsyncUpload 취약점으로 IIS w3wp.exe 프로세스 권한을 얻고, 외부 IP로 리버스 쉘을 연결했다. 이어 SweetPotato 등 토큰 가장 도구로 SYSTEM 권한까지 확보했다.
여기서 눈에 띄는 대목은 웹쉘 설치 방식이다. 공격자는 Godzilla 계열 웹쉘을 디스크가 아니라 메모리에만 godmemshell.dll로 로드했다. ASP.NET의 VirtualPathProvider에 악성 요청 처리 로직을 등록해, 서버를 재시작하지 않는 한 디스크에서 .aspx 파일을 찾아도 나오지 않는다. 일반적인 파일 기반 웹쉘 스캔으로는 존재 자체를 확인하기 어렵다.
두 번째 사례는 목적이 달랐다. Rust로 작성된 스캐너가 원격 서버에서 점검 대상 목록을 받아 WordPress 설치 여부를 비동기로 탐색했고, WordPress로 판단되는 서버의 URL과 공인 IP를 red.txt라는 파일명으로 텔레그램에 전송했다. 같은 Telerik 취약점을 진입로로 쓰면서도, 이후 행선지는 침투가 아니라 다른 캠페인을 위한 정찰이었다.
가 악용된 건 이번이 처음이 아니다. 2020년엔 Blue Mockingbird가 이 취약점으로 Windows IIS 서버에 악성 DLL을 심어 모네로 채굴 악성코드를 유포했다. 2023년엔 CISA·FBI·MS-ISAC이 공동 자문 AA23-074A에서, 다수 위협 행위자가 같은 취약점으로 미 연방기관 IIS 서버에 악성 DLL을 올려 원격 코드를 실행했다고 발표했다.
채굴 악성코드에서 연방기관 침해, 그리고 이번엔 파일리스 웹쉘과 별개 캠페인용 정찰 도구까지. 용도는 계속 바뀌었지만 진입로는 그대로다. 패치가 나온 지 6년이 지났는데도 이 취약점이 계속 쓰이는 이유는 단순하다 — 패치하지 않은 서버가 여전히 존재하기 때문이다.
Telerik 벤더 Progress는 공식 KB 문서에서 R1 2020(2020.1.114) 이상으로 업그레이드하는 것만이 이 결함을 확실히 막는다고 명시했다. 그 이전 버전에 나온 패치들은 이 취약점을 막지 못한다. 당장 업그레이드가 어려운 환경이라면, 최소 R2 2017 SP2로 올린 뒤 DisableAsyncUploadHandler 설정으로 RadAsyncUpload 핸들러 자체를 비활성화하고 암호화 키를 교체하는 우회책이 있다. 다만 이는 임시방편이고, 벤더가 권고하는 유일한 확실한 해법은 업그레이드다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.