中 업체 ZBT 공유기, 백도어 담겨 전 세계 유통… 보안 비상

중국 네트워크 장비 전문 업체 ‘선전 지보통 전자(ZBT)’가 만든 무선 공유기 펌웨어에서 기기 제어 권한을 탈취하는 백도어 프로그램 3종이 무더기로 발견되어 전 세계 네트워크 보안에 비상등이 켜졌다. 공유기는 보안 장치나 암호화 과정 없이 외부의 원격 제어 서버로 주기적으로 신호를 보낸다. 서버가 명령을 보내면 기기의 최고 관리자 권한으로 곧바로 실행된다.
IT 전문 매체 톰스하드웨어는 29일(이후 현지시각) 보안 기업 벌른체크의 최신 분석 보고서를 인용해 이같이 보도했다.


미국 사이버 위협 정보 분석 전문 기업 벌른체크 보안팀 연구진은 ZBT의 'Zbtlink AX3000' 모델 펌웨어에서 '엔들리스도어스(Endlessdoors)'라는 숨겨진 악성코드(‘임플란트’)를 처음 확인했다.

이 악성코드는 기기가 켜지면 숨어 있던 기능을 자동으로 실행하는 백도어 프로그램 기능을 한다. 이때 리눅스 내부의 정상적인 핵심 작업 프로세스(kworker)로 이름을 위장해 감시를 피한다.
보안팀 연구진이 가짜 명령 서버를 세워 시험용 공유기를 직접 통제하는 데 성공하면서 이 위험성이 실제로 입증됐다.

이 취약점은 공식 보안 취약점 목록에 'CVE-2026-66747'로 등록됐으며 위험도는 10점 만점에 9.3점을 기록했다. 셀룰러 공유기를 비롯한 20개 넘는 모델이 이 결함의 영향을 받는다.


연구진은 미국 전자상거래 플랫폼에서 88달러에 판매되는 '딥 오렌지' 공유기를 조사했다. 이 기기는 ZBT 제품을 브랜드만 바꿔 판매하는 화이트라벨 장비였다.
해당 기기 펌웨어에서는 '다크랜턴'과 '스피킹스톤'이라는 슴겨둔 악성코드(‘임플란트’)가 추가로 발견됐다. ‘다크랜턴’은 외부망 포트를 열어둔 채 인증 없는 원격 명령을 기다린다.

19바이트 크기의 특정 패킷을 보내면 장비 식별 정보가 외부에 노출되도록 작동한다. 인터넷 스캔 결과 22개국에서 203개의 노출 장비가 확인됐다.

‘스피킹스톤’은 방화벽 내부에서도 외부로 신호를 보낸다. 원격 운영자는 이 통신으로 외부망 자격 증명 탈취와 도메인 주소 변조 조작을 수행할 수 있다.


보안팀 연구진은 악성코드에 내장된 백업 도메인을 직접 확보한 뒤 가짜 수신 서버를 구축했다. 접속을 시도한 고유 기기 392대 가운데 390대가 중국 내에 위치했다.
대부분은 현지 이동통신사 네트워크를 이용했다. 이는 중국 통신망을 통한 대규모 원격 관리나 모니터링 목적에 기기가 활용된 정황으로 해석된다.

미국 연방통신위원회(FCC)는시 국가안보를 이유로 중국산 통신 장비 수입 제한을 강화하고 있다. 캐나다 정부도 자국 유통 브랜드인 모파이 네트워크(MoFI Network) 제품을 포함해 보안 권고를 발령했다.

해외 직구를 통해 국내로 들어온 미인증 공유기도 안전지대가 아니다. 한국 과학기술정보통신부와 한국인터넷진흥원(KISA)은 미인증 공유기 백도어 위험에 대응해 보안 가이드라인을 배포하고 불필요한 원격 접속 차단을 당부했다.

ZBT는 OEM과 ODM 방식으로 제품을 유통한다. 이에 따라 한국을 포함한 전 세계 소비자가 제조사를 알지 못한 채 위험 기기를 사용할 수 있다.

공장 제조 단계에서 심어진 결함이기 때문에 일반 업데이트로는 해결할 수 없으며, 장비를 다른 제품으로 완전히 교체하는 것 외에는 대안이 없다는 것이 보안 업계 전문가들의 지적이다.


심완섭 글로벌이코노믹 기자 ciberwld@g-enews.com