10년 묵은 취약점이 아직 일한다 — Flax Typhoon 인프라 압수와 CISA KEV 5건

미국 FBI가 중국 연계 해킹 조직의 스캐너와 피싱 플랫폼 도메인을 압수했고, 같은 시기 CISA는 실제 악용이 확인된 취약점 5건을 추가했습니다. 그중 셋은 2015~2016년에 공개된 것입니다. 새 제로데이보다 오래된 구멍이 더 자주 쓰이는 이유와 점검 방법을 정리했습니다.

스캐너를 압수하다

10월 초 미국 FBI와 법무부는 중국 연계 해킹 조직이 쓰던 도메인 7개를 압수했다. 대상은 두 개의 플랫폼과 원격 관리 도구 하나였다.

MicroScan — 인터넷에 노출된 시스템의 취약점을 찾는 스캐너
FishHub — 표적형 피싱으로 악성코드를 심고 원격 접근 · 파일 탈취를 돕는 플랫폼

운영 주체로 지목된 곳은 중국 정부와 계약 관계가 있는 보안업체 Integrity Technology Group이며, 업계는 이 활동을 Flax Typhoon이라는 이름으로 추적해 왔다. 2024년에도 FBI는 같은 회사와 연계된 20만 대 이상의 기기로 구성된 봇넷을 무력화한 바 있다.

법원 문서에 따르면 MicroScan은 미국 사우스캐롤라이나의 전력회사, 일본과 폴란드의 공항, 대만의 에너지 기업 등을 스캔했다. 침해가 확인된 곳은 대만 대학 2곳이다. 스캔은 침해가 아니다. 그러나 스캔은 다음 단계의 목록을 만드는 일이다.

① CISA가 추가한 다섯 개 — 셋은 10년 전 것

같은 시기 미국 CISA는 실제 공격에 쓰인 것이 확인된 취약점 목록(KEV)에 다섯 건을 추가하고, 연방기관에 10월 11일까지 조치하라고 지시했다.

          · CVE-2015-3306 ProFTPD — 접근 통제 결함, 원격에서 임의 파일 읽기 · 쓰기 (CVSS 10.0)

          · CVE-2015-5477 ISC BIND — TKEY 질의로 서비스 중단 유발 (CVSS 7.5)

          · CVE-2016-3081 Apache Struts — 동적 메서드 호출 활성화 시 명령 주입 (CVSS 8.1)

          · CVE-2021-3199 ONLYOFFICE Docs — JWT 사용 시 경로 조작, 원격 코드 실행 가능 (CVSS 9.8)

          · CVE-2023-22894 Strapi — 관리자 패널 접근 시 민감정보 평문 노출 (CVSS 7.2)

2015년 취약점이 2026년에 "새로" 악용 목록에 오른다는 것은 그만큼 오래 패치되지 않은 서버가 아직 인터넷에 있다는 뜻이다. 공격자 입장에서 오래된 취약점은 공개 익스플로잇이 있고, 성공률이 검증돼 있고, 탐지 룰을 피할 변형도 많다.

② 왜 오래된 구멍이 남아 있나

목록에 없는 서버 — 예전 프로젝트의 FTP, 테스트용 DNS, 외주가 만든 Struts 웹앱은 자산 목록에서 빠져 있기 쉽다
"내부용이라 괜찮다" — 방화벽 정책이 바뀌거나 클라우드로 옮기면서 어느 순간 외부에 노출된다
CVSS만 보는 우선순위 — 점수가 높은 새 취약점부터 막다 보면, 실제로 쓰이는 오래된 취약점이 계속 뒤로 밀린다
패치할 수 없는 제품 — 지원이 끝난 버전은 업데이트 자체가 없다. 남은 선택지는 교체 또는 차단뿐이다

③ 공격 흐름 — 자동 스캔 다음은 사람

미국 · 영국 · 호주 · 캐나다 · 일본 · 뉴질랜드 · 스페인 7개국이 함께 낸 권고는 이 조직이 자동화된 대규모 스캔과 사람이 직접 하는 침투를 결합한다고 설명한다. 보도된 수법은 다음과 같다.

스캐너로 취약한 서버 목록 확보 → 알려진 취약점으로 최초 침투
Microsoft Exchange에 대한 비밀번호 스프레이(흔한 비밀번호를 여러 계정에 조금씩 대입), XSS
VPN 소프트웨어로 접속 유지, 스크립트로 메일과 계정 정보 수집
감염된 공유기 · IoT 기기로 만든 봇넷을 경유해 출처를 숨김

지난달 국내 금융권 침해에서도 확인됐듯, 스캔과 최초 침투는 점점 더 자동화되고 있다. 자동화된 공격이 가장 먼저 찾는 것은 새로운 구멍이 아니라 이미 알려진 구멍이다.

④ 국내 조직이 볼 것 — KEV를 우선순위 기준으로

KEV는 미국 연방기관용 지시이지만, 목록 자체는 누구나 쓸 수 있는 "실제로 공격받는 취약점"의 공개 명단이다. 패치 우선순위를 CVSS 점수만으로 정하지 말고, KEV에 있는가 · 인터넷에 노출돼 있는가를 먼저 보는 것이 효과적이다.

          바로 해볼 수 있는 확인

          · 외부 노출 자산 목록에서 FTP(21) · DNS(53) · 구형 Java 웹앱 서버를 따로 추린다

          · 각 서버에서 버전 확인 — ProFTPD는 proftpd -v, BIND는 named -v

          · Struts 사용 웹앱은 라이브러리 버전과 동적 메서드 호출 설정 확인

          · ONLYOFFICE · Strapi 같은 협업 · CMS 도구는 관리자 화면의 외부 노출 여부부터 확인

아직 확인되지 않은 것

이번 활동에 쓰인 것으로 보도된 취약점 8개 중 나머지 3개 — 공개되지 않았다
국내 기관이 스캔 · 침해 대상에 포함됐는지 — 공개된 법원 문서와 보도에는 언급이 없다
공동 권고문의 세부 탐지 지표 — 원문(CISA)으로 확인 필요

점검 체크리스트

☐ 인터넷 노출 자산 전수 목록 갱신 — 외주 · 테스트 · 레거시 서버 포함
☐ 위 5개 CVE 해당 제품 · 버전 보유 여부 확인, 있으면 패치 또는 외부 차단
☐ 패치 우선순위 기준에 CISA KEV 포함 여부를 추가
☐ 지원 종료(EOL) 소프트웨어 목록화 및 교체 일정 수립
☐ Exchange · VPN · 메일 계정에 MFA 적용, 비밀번호 스프레이 탐지 룰(다계정 소량 실패) 점검
☐ 사내 공유기 · NAS · IoT 기기 기본 비밀번호 · 원격 관리 기능 점검

제로데이는 뉴스가 되고, 10년 된 취약점은 침해가 된다.

※ 본 정리는 2026년 10월 12일까지 공개된 보도를 기준으로 합니다. CVE별 영향 버전과 조치 방법은 CISA KEV 목록과 각 제조사 보안 권고문을 함께 확인하시기 바랍니다.