[속보] NSA, 러시아 연계 Zimbra 피싱 경고…메일 열람만으로 90일치 탈취

미국 국가안보국(NSA)이 23일 공개한 공식 발표와 다국적 기관 공동 사이버보안 권고문에 따르면 러시아 정부 지원 공격그룹 ‘LAUNDRY BEAR’는 Zimbra Collaboration Suite(ZCS)를 사용하는 정부·기업 조직을 겨냥한 피싱 캠페인을 이어가고 있다. 패치되지 않은 시스템에서는 이용자가 악성 메일을 보기만 해도 공격 코드가 실행될 수 있다.

NSA와 미국 연방수사국(FBI), 사이버보안·인프라보안국(CISA), 네덜란드 정보기관을 비롯한 여러 국가 기관이 공동 작성한 권고문은 공격 활동이 적어도 2025년 7월부터 관찰됐다고 밝혔다. 이 그룹은 ‘Void Blizzard’, ‘CL-STA-1114’, ‘TA488’ 등의 이름으로도 추적되고 있다.

공격에는 ZCS의 교차사이트 스크립팅 취약점 CVE-2025-66376이 악용된다. 일반적인 피싱처럼 이용자가 링크를 누르거나 첨부파일을 열 필요가 없다. 취약한 ZCS 웹메일에서 공격 메일을 표시하는 것만으로 자바스크립트 페이로드가 실행되는 방식이다.

해당 취약점은 공격이 시작됐을 당시 제로데이였으며 2025년 11월 패치됐다. 공동 권고문은 그 뒤에도 업데이트되지 않은 ZCS 인스턴스를 상대로 공격이 성공하고 있다고 경고했다. 취약점 정보는 2026년 1월 CVE 데이터베이스에 공개됐다.

공격 도구 ‘Ulej’는 피해자의 최근 90일치 이메일과 조직 주소록, 이메일 주소, 비밀번호, 2단계 인증 토큰, 새로 만든 애플리케이션 비밀번호 등을 수집하도록 설계됐다. 탈취한 정보는 공격자가 통제하는 ‘Flowerbed’ 수집 프레임워크로 전송된다. 공격 스크립트는 IMAP 사용을 활성화하고 애플리케이션 비밀번호를 만들어 지속적인 메일 접근도 시도한다.

권고문은 방위산업과 연방·지방정부, 교육, 에너지, 법 집행, 미디어, 비정부기구, 기술 분야 조직이 표적이 됐다고 설명했다. 금전적 갈취 정황이 확인되지 않은 점과 표적 범위를 근거로 이 활동을 러시아 정부를 위한 정보 수집 작전으로 평가했다.

수집 서버에 쓰인 Flowerbed는 Python과 Docker 기반으로 구성됐다. 공동 조사기관은 코드의 단순한 구조에서 인공지능이 개발에 사용된 흔적이 있다고 봤다. 다만 이는 공격 전반이 AI로 자동화됐다는 의미가 아니라, 일부 악성 기능 개발에 AI가 관여했을 가능성을 가리킨다.

공동 권고문은 ZCS 운영 조직에 취약한 버전을 사용하고 있지 않은지 즉시 확인하라고 요구했다. CVE-2025-66376 패치는 ZCS 10.1.13과 10.0.18에 제공됐다. 즉시 업데이트하기 어렵다면 패치가 완료될 때까지 다른 메일 클라이언트를 사용하고 Classic ZCS 웹메일 접근을 피하도록 안내했다.

기관들은 외부로 연결된 ZCS와 접속 단말의 로그를 점검하고, 권고문에 공개된 침해지표를 탐지 체계에 반영할 것도 권고했다. 비정상적으로 많은 외부 전송과 무작위 하위 도메인으로 반복되는 DNS 요청, 신규 도메인 서버로의 갑작스러운 연결 증가 등이 주요 점검 대상이다. 국내 기관·기업의 피해 사례는 현재 공개된 공식 자료에서 확인되지 않았다.

출처: 미국 국가안보국 공식 발표 https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4553352/nsa-and-partners-alert-zimbra-collaboration-suite-users-of-a-russian-state-supp/
출처: 다국적 기관 공동 사이버보안 권고문 https://media.defense.gov/2026/Jul/22/2003965244/-1/-1/1/CSA_RUSSIA_PHISHING_TARGET_ZIMBRA.PDF