취약점·CVE
ARMORY CASTLE(옛 UNC5221), BeyondTrust 원격지원 제로데이 CVE-2026-102764 악용
Google 위협 인텔리전스 그룹(GTIG)이 중국 연계로 의심되는 첩보 행위자 ARMORY CASTLE의 BeyondTrust Remote Support 제로데이 악용을 공개했다. CISA는 해당 취약점을 KEV에 등재했다.
Google 위협 인텔리전스 그룹(GTIG)·Mandiant는 2026-10-15 글에서 중국 연계로 의심되는 첩보 행위자 ARMORY CASTLE(옛 추적명 UNC5221)가 BeyondTrust Remote Support 장비의 취약점 CVE-2026-102764를 2026-08 하순 제로데이로 악용했다고 밝혔다. 권한 상승과 영구 접근, 맞춤형 악성코드 SAWFLY·BARECLAW 사용이 확인됐다.
핵심
- 배후 평가 — GTIG는 "중국 연계로 의심되는 첩보 행위자(suspected PRC-nexus)"로 서술. BeyondTrust도 Mandiant의 "장기 정보 수집에 초점을 둔 국가 지원 첩보 작전" 평가를 확인한 것으로 보도됐다.
- 활동 기간 — "2023년 10월부터 활동(active as early as October 2023)", 다양한 국가·업종을 표적.
- 확산 경고 — GTIG는 공개 이후 대량 악용 가능성을 경고했고, CISA는 2026-10-16 이 취약점을 악용 취약점 목록(KEV)에 추가했다.
- 한국 관련 서술은 없음 — 원문에 한국 관련 언급은 확인되지 않았다.
조치: BeyondTrust Remote Support 운영 조직은 벤더 패치를 즉시 적용하고, 제로데이 악용 기간(2026-08 하순 이후)의 권한 상승·비정상 원격 세션·지속성 아티팩트를 소급 점검할 것.
이름의 혼동
옛 이름 UNC5221은 추적 체계상 이미 다른 이름들과 얽혀 있다(일부 기관은 APT27 별칭으로 나열, Google은 Silk Typhoon과 동일 군집으로 보지 않음). 이번 GTIG 글은 HAFNIUM·Silk Typhoon·APT27과의 관계를 적지 않았다.