마이크로소프트 셰어포인트 '툴셸' 제로데이 대규모 해킹 사태

2025년 5월 독일 베를린에서 열린 해킹 대회 Pwn2Own에서 베트남 비엣텔 사이버시큐리티 연구진이 마이크로소프트 온프레미스 셰어포인트 서버를 겨냥한 익스플로잇 체인을 시연했다. 이들은 인증 우회 취약점(CVE-2025-49706)과 신뢰할 수 없는 데이터의 역직렬화 취약점(CVE-2025-49704)을 엮어 인증 없이 원격 코드 실행에 성공했고, 이 공격 체인에 '툴셸(ToolShell)'이라는 이름이 붙었다. 대회 시연은 마이크로소프트에 정식 보고돼 패치 절차에 들어갔지만, 동시에 공격 기법의 얼개가 보안 커뮤니티에 널리 알려지는 계기가 됐다. 셰어포인트는 전 세계 정부기관과 대기업이 내부 문서·인트라넷 플랫폼으로 사용하는 핵심 시스템이어서 파급력이 매우 클 수밖에 없었다. 두 달 뒤 이 취약점 체인은 국가배후 해킹조직들의 실전 무기로 되돌아왔다.

마이크로소프트가 사후 조사에서 밝힌 바에 따르면 중국 연계 해킹조직 리넨 타이푼(Linen Typhoon), 바이올렛 타이푼(Violet Typhoon), 그리고 스톰-2603(Storm-2603)이 이르면 2025년 7월 7일부터 셰어포인트 취약점을 실제 공격에 사용하기 시작했다. 리넨 타이푼은 지식재산 탈취, 바이올렛 타이푼은 첩보 수집을 주로 수행해온 조직으로 알려져 있었다. 이들은 인터넷에 노출된 온프레미스 셰어포인트 서버를 스캔해 무차별적으로 공격을 시도했다. 초기 공격은 정식 패치가 나오기 전 단계여서 사실상 방어 수단이 없는 상태였고, 피해 조직 대부분은 침해 사실조차 인지하지 못했다. 이 시점이 이후 전 세계로 번지는 툴셸 사태의 실질적 시작점이 됐다.

마이크로소프트는 2025년 7월 정기 보안 업데이트(패치 화요일)를 통해 Pwn2Own에서 보고된 CVE-2025-49706과 CVE-2025-49704를 수정했다. 그러나 이 패치는 취약한 코드 경로를 근본적으로 차단하지 못했고, 공격자들은 곧 약간의 변형만으로 패치를 우회할 수 있다는 사실을 발견했다. 이렇게 파생된 우회 변종이 훗날 CVE-2025-53770과 CVE-2025-53771로 별도 등록된다. 보안업계는 불완전한 패치가 오히려 공격자에게 취약점의 존재와 위치를 알려주는 지도 역할을 했다고 지적했다. 결과적으로 7월 정기 패치 직후부터 셰어포인트 서버를 향한 공격 시도는 급격히 늘어나기 시작했다.

2025년 7월 18일과 19일 사이 셰어포인트 서버를 겨냥한 공격이 폭발적으로 늘어났고, 북미와 서유럽의 정부·통신·소프트웨어 부문이 집중 표적이 됐다. 공격자들은 단순히 서버에 침투하는 데 그치지 않고 서버의 암호화 머신키(MachineKey)를 탈취했다. 머신키를 손에 넣으면 패치가 적용된 뒤에도 유효한 인증 토큰을 스스로 만들어낼 수 있어, 사실상 영구적인 재침입 경로를 확보하게 된다. 이 때문에 보안 전문가들은 패치만으로는 충분하지 않으며 머신키 교체(rotation)와 서버 재시작까지 반드시 병행해야 한다고 경고했다. 이름이 공개되지 않은 서방 주요 정부기관도 이 시기 표적이 된 것으로 확인됐다.

마이크로소프트는 2025년 7월 19일 온프레미스 셰어포인트 서버에 영향을 주는 치명적 원격 코드 실행 취약점 CVE-2025-53770에 대한 긴급 보안권고를 발표했다. CVSS 점수 9.8의 이 취약점은 인증 없이 서버를 완전히 장악할 수 있게 해주는 것으로, 이미 실제 공격에 사용 중임이 확인된 상태였다. 마이크로소프트는 즉각적인 완화책으로 AMSI(안티맬웨어 스캔 인터페이스) 통합 활성화와 디펜더 안티바이러스 배포를 권고했다. 다만 셰어포인트 온라인(마이크로소프트 365) 사용자는 영향을 받지 않는다고 선을 그었다. 이날 권고는 주말에 발령됐을 만큼 상황이 급박했음을 보여준다.

미국 사이버보안·인프라보안국(CISA)은 2025년 7월 20일 일요일 CVE-2025-53770을 알려진 악용 취약점(KEV) 카탈로그에 추가했다. KEV 등재는 구속적 운영지침(BOD) 22-01에 따라 연방 행정부 기관들이 정해진 기한 내에 반드시 조치를 완료해야 함을 뜻한다. CISA는 동시에 마이크로소프트의 완화 지침을 재배포하며 인터넷에 노출된 온프레미스 셰어포인트 서버를 즉시 네트워크에서 분리할 것을 권고했다. 주말임에도 긴급 경보가 나온 것은 연방기관 다수가 이미 침해됐을 가능성이 크다는 판단 때문이었다. 캐나다 사이버보안센터 등 각국 당국도 같은 시기 잇따라 경보를 발령했다.

마이크로소프트는 2025년 7월 20일 밤부터 21일 사이 셰어포인트 서버 구독 에디션, 2019, 2016 버전을 대상으로 정기 일정 외 긴급 패치를 순차 배포했다. 구형 버전일수록 패치가 늦게 나와 2016 버전 사용자는 한동안 무방비 상태로 남아 있어야 했다. 마이크로소프트는 패치 적용만으로는 이미 탈취된 머신키를 무효화할 수 없다며 반드시 키를 교체하고 IIS를 재시작할 것을 재차 강조했다. 보안업계는 이미 침해된 서버에는 웹셸이 심어져 있을 가능성이 높아 패치 이후에도 전면적인 침해사고 조사가 필요하다고 지적했다. 실제로 많은 조직이 패치를 마친 뒤에도 공격자가 여전히 내부에 남아 있음을 뒤늦게 발견했다.

마이크로소프트는 2025년 7월 22일 보안 블로그를 통해 셰어포인트 취약점을 악용한 주체로 중국 국가배후 조직 리넨 타이푼과 바이올렛 타이푼, 그리고 중국 기반으로 평가되는 스톰-2603을 공식 지목했다. 특히 스톰-2603은 침투한 서버에 워록(Warlock)과 록빗(LockBit) 계열 랜섬웨어를 배포해 파일을 암호화한 것으로 확인됐다. 국가 첩보 활동과 금전 목적 랜섬웨어가 같은 취약점을 공유하며 뒤섞인 전형적 사례였다. 중국 정부는 근거 없는 비방이라며 관련성을 부인했다. 이 발표로 툴셸 사태는 단순 보안 사고를 넘어 미중 사이버 갈등의 외교 현안으로 격상됐다.

미국 에너지부 산하 국가핵안보국(NNSA)이 셰어포인트 제로데이를 통해 침해당한 사실이 확인되면서 파문이 걷잡을 수 없이 커졌다. NNSA는 미국의 핵탄두 설계·유지·해체를 총괄하는 최고 민감 기관이어서, 침해 자체만으로 국가안보 논란이 불가피했다. 에너지부는 클라우드 기반 시스템을 광범위하게 쓰고 있어 영향을 받은 시스템은 극히 일부이며 민감·기밀 정보 유출은 없었다고 해명했다. 그러나 공격자들이 머신키를 탈취해 장기 잠복이 가능했다는 점에서 완전한 안전 확인까지는 상당한 시간이 걸릴 수밖에 없었다. 국토안보부와 보건복지부 등 다른 연방기관 침해 사실도 잇따라 드러났다.

2025년 7월 24일을 기준으로 셰어포인트 툴셸 공격의 피해 조직은 400곳을 넘어선 것으로 집계됐다. 체크포인트 리서치는 전 세계 300개 이상 조직을 상대로 4600건 넘는 침해 시도를 포착했다고 밝혔다. 피해 범위에는 미국 에너지부와 국토안보부, 보건복지부 등 연방기관은 물론 각국 지방정부, 대학, 에너지 기업, 통신사가 두루 포함됐다. 보안 연구자들은 온프레미스 셰어포인트가 외부에 노출된 채 장기간 운영되는 경우가 많아 사실상 무방비 표적이 광범위하게 존재했다고 분석했다. 실제 피해 규모는 침해를 인지하지 못한 조직까지 포함하면 훨씬 더 클 것으로 추정됐다.

미국 CISA는 2025년 8월 6일 셰어포인트 취약점 악용 과정에서 사용된 악성코드에 대한 분석 보고서(MAR-251132)를 공개했다. 보고서에는 공격자가 심어둔 웹셸과 지속성 확보 도구의 동작 방식, 탐지에 활용할 수 있는 침해지표(IOC)가 상세히 담겼다. 이 자료 공개로 각 기관은 자체 로그를 뒤져 침해 여부를 사후 확인할 수 있게 됐다. 사태는 대규모 패치 적용과 머신키 교체가 마무리되며 진정 국면에 들어섰지만, 온프레미스 협업 서버를 인터넷에 노출한 채 운영하는 구조적 위험은 그대로 남았다는 지적이 이어졌다. 툴셸은 2025년 최악의 엔터프라이즈 소프트웨어 침해 사건 중 하나로 기록됐다.