ESET이 밝힌 ‘Cereal’ 악성코드는 2026년 현재 Exchange 서버를 노리는 정교한 사이버 스파이 도구입니다. 외부 C2 없이 내부에서 활동하며 기업 보안에 심각한 위협이 됩니다.
Cereal 악성코드: 2026년 Exchange 서버의 새로운 위협
2026년, 글로벌 보안 기업 ESET은 ‘Cereal’ 악성코드 툴킷에 대한 보고서를 발표했습니다. 침해된 Exchange 서버에서 장기 사이버 스파이 활동을 위해 설계되었으며, ‘Serialization’ 기술을 활용합니다. 이메일 수집 모듈, 은밀한 C&C, 교묘한 .NET 실행 기술이 특징입니다. 현재 국가 배후 행위자가 정부 기관을 공격 중이지만, 기업들도 심각하게 우려해야 할 위협입니다.
은밀한 침투: 외부 C2 없는 고도화된 공격
Cereal 악성코드의 특징은 외부 C&C 인프라가 없다는 점입니다. 감염된 Exchange 서버가 자체 명령 센터가 되며, 공격자는 일반 Outlook Web Access, Autodiscover, ActiveSync 트래픽으로 위장한 웹 경로를 통해 암호화된 명령을 전달합니다. ESET 연구진은 Cereal이 디스크에 흔적을 거의 남기지 않고, 외부로 콜 홈하지 않아 기존 네트워크 방어를 회피한다고 강조합니다. 이는 탐지를 더욱 어렵게 만듭니다.
Exchange 내부 깊숙이 파고든 교활한 수법
Cereal 툴킷은 합법적인 Exchange 프로세스에 이메일 수집 모듈을 주입, 이메일 전송 파이프라인을 조작합니다. 이는 Exchange 내부 구조에 대한 깊은 이해를 바탕으로 한 혁신적인 기법입니다. 공격자들은 이를 통해 중요한 이메일을 가로채 복사본을 유출합니다. ‘CerealBox’ 구성 요소는 특정 발신자, 수신자, 제목, .doc, .docx, .pdf 첨부파일을 가진 메시지를 선별하며, NATO 및 EU 관련 메시지 수집 사례도 보고되었습니다.
2026년 기업 보안에 미치는 영향 및 권고 사항
프랭크 딕슨은 “국가 배후 기술이 결국 범죄 조직으로 확산될 것”이라고 경고합니다. Exchange 서버는 인터넷 노출, 높은 권한, 복잡성 때문에 기업 네트워크의 ‘아킬레스건’이 될 수 있습니다. ESET은 공격자들이 사서함 추출, 자격 증명 탈취, Active Directory 쿼리 등을 할 수 있음을 확인했습니다. 기업은 온프레미스 Exchange를 마이그레이션하거나 중단하고, 잔존 시스템은 ‘티어 제로 자산’으로 도메인 컨트롤러처럼 보호해야 합니다.
아직 밝혀지지 않은 침투 경로의 미스터리
ESET 보고서는 Turla 그룹이 침투 후 무엇을 했는지는 상세히 설명하지만, 서버 침투 경로는 밝히지 못했습니다. 명명된 취약점이나 도난 자격 증명, 피싱 이메일 언급도 없습니다. 프랭크 딕슨은 이를 “지문 없는 도둑은 인상적이나, 침투 경로가 미스터리인 도둑은 모든 집에 문제”라고 비유했습니다. 2026년 현재 기업들은 Cereal 같은 고도화된 위협에 지속적으로 경계하고 위협 인텔리전스를 주시해야 합니다.
