CVE-2025-55182
React2Shell 취약점을 주요 감염 경로로 활용하는 대규모 자격 증명 탈취 공격이 확인되었습니다. 이 공격은 취약한 Next.js 애플리케이션, 특히 React 서버 컴포넌트와 Next.js 앱 라우터에 영향을 미치는 심각한 취약점인 CVE-2025-55182(CVSS 점수 10.0)를 악용합니다. 공격에 성공하면 원격 코드 실행이 가능해져 공격자는 대상 시스템에 초기 침투 권한을 확보할 수 있습니다.
보안 연구원들은 이러한 활동을 UAT-10608로 추적되는 위협 클러스터의 소행으로 보고 있습니다. 이 캠페인은 이미 여러 지역과 클라우드 환경에 걸쳐 최소 766개의 호스트를 침해하여 규모와 운영 범위를 보여주고 있습니다.
목차
대규모 자동화 침입: 광범위하고 무차별적인 표적 공격
이 공격 패턴은 고도로 자동화된 정찰 및 악용 기법을 반영합니다. 공격자들은 Shodan, Censys와 같은 대규모 스캔 도구 또는 자체 제작 스캐너를 사용하여 취약점에 취약한 공개된 Next.js 배포 환경을 식별하는 것으로 추정됩니다.
이러한 무차별적 공격 전략은 취약한 시스템을 신속하게 식별하여 침해 성공률과 규모를 크게 향상시킵니다.
다단계 페이로드 배포: 접근부터 데이터 수집까지
초기 침해 이후, 드로퍼가 배포되어 NEXUS Listener라는 다단계 데이터 수집 프레임워크를 설치합니다. 이 프레임워크는 감염된 시스템에서 민감한 데이터를 추출하여 중앙 집중식 명령 및 제어(C2) 인프라로 유출하도록 설계된 자동화된 스크립트를 실행합니다.
수확 과정은 광범위하며 체계적으로 다음과 같은 것들을 수집합니다:
- 환경 변수 및 JSON으로 파싱된 런타임 구성
- SSH 개인 키 및 authorized_keys 파일
- 셸 명령 기록 및 실행 중인 프로세스 세부 정보
- 쿠버네티스 서비스 계정 토큰 및 도커 컨테이너 구성
- API 키, 데이터베이스 자격 증명 및 클라우드 서비스 비밀 키
- 클라우드 메타데이터 서비스(AWS, Google Cloud, Microsoft Azure)를 통해 가져온 임시 IAM 자격 증명
NEXUS Listener: 중앙 집중식 정보 및 제어
이 작전의 핵심은 공격자의 C2 인프라에 호스팅된 암호로 보호되는 웹 기반 애플리케이션인 NEXUS Listener입니다. 이 인터페이스는 운영자에게 탈취된 데이터를 모니터링하고 분석할 수 있는 포괄적인 그래픽 대시보드를 제공합니다.
이 플랫폼의 주요 기능은 다음과 같습니다.
- 침해당한 호스트와 탈취된 자격 증명을 실시간으로 확인할 수 있습니다.
- 효율적인 데이터 필터링 및 분석을 위한 검색 기능
- 자격증 유형 및 발급량을 자세히 보여주는 종합 통계
- 애플리케이션 가동 시간 및 운영 상태와 같은 시스템 지표
현재 관찰된 버전인 NEXUS Listener V3는 지속적인 개발 및 개선이 진행 중임을 나타내며, 이는 성숙하고 발전하는 도구 세트임을 시사합니다.
중요 기밀 정보 노출: 위험한 데이터 캐시
일부 경우, 잘못 구성되었거나 인증되지 않은 NEXUS Listener 패널로 인해 다양한 민감한 자격 증명이 노출되었습니다. 여기에는 Stripe와 같은 금융 서비스, OpenAI, Anthropic 및 NVIDIA NIM과 같은 인공지능 플랫폼, SendGrid 및 Brevo와 같은 통신 서비스와 관련된 API 키가 포함됩니다.
추가로 노출된 자산에는 텔레그램 봇 토큰, 웹훅 비밀 키, GitHub 및 GitLab 토큰, 데이터베이스 연결 문자열 등이 포함됩니다. 이처럼 광범위한 데이터가 유출됨에 따라 하위 시스템 공격의 가능성이 크게 증폭됩니다.
전략적 영향: 전체 인프라 생태계 지도 작성
개별 자격 증명 외에도, 집계된 데이터는 피해 환경에 대한 상세한 청사진을 제공합니다. 공격자는 배포된 서비스, 구성 패턴, 사용 중인 클라우드 공급자 및 타사 통합에 대한 가시성을 확보할 수 있습니다.
이러한 정보는 측면 이동, 권한 상승, 사회 공학적 캠페인 또는 다른 위협 행위자에게 접근 권한 재판매를 포함한 고도로 표적화된 후속 작전을 가능하게 합니다.
방어적 필수사항: 위험 완화 및 노출 제한
이번 공격의 규모와 심각성은 선제적인 보안 조치의 필요성을 강조합니다. 조직은 노출 위험을 줄이기 위해 엄격한 환경 감사 및 자격 증명 관리 관행을 우선시해야 합니다.
권장 조치 사항은 다음과 같습니다.
- 모든 시스템과 서비스에서 최소 권한 원칙을 시행합니다.
점점 더 자동화되고 대규모화되는 자격 증명 탈취 공격으로부터 방어하기 위해서는 접근 제어 및 지속적인 모니터링에 대한 체계적인 접근 방식이 필수적입니다.
