이 블로그 글을 AI로 요약하기:
ChatGPT에게 물어보기 
Grok에게 물어보기 
Perplexity에게 물어보기 
Claude에게 물어보기 
Google AI에게 물어보기 고객들이 가장 우려한 점은 단순히 랜섬웨어 자체가 아니었습니다. 더 큰 문제는 더 이상 정상적인 방식으로 패치할 수 없는 구버전 VMware 위에서 핵심 워크로드를 계속 운영하고 있었다는 사실이었습니다. 이러한 격차가 발생하는 순간, 매일이 곧 보안 리스크가 됩니다.
최근 고객 사례를 공유한 필리핀 지역 Sangfor 파트너
많은 IT 조직에게 랜섬웨어는 더 이상 먼 미래의 가능성이 아닙니다. 이제는 몇 주가 아닌 몇 시간 만에 비즈니스 운영을 중단시킬 수 있는 현실적인 위협입니다. 특히 핵심 워크로드를 구동하는 인프라가 오래되었거나 취약점에 노출되어 있거나, 지속적인 업데이트가 어려운 소프트웨어에 의존하고 있을 경우 이러한 위험은 더욱 직접적으로 다가옵니다.
이러한 이유로 최근 VMware 취약점 악용 관련 경고는 매우 중요한 의미를 갖습니다. 2026년 2월, BleepingComputer는 미국 사이버보안 및 인프라 보안국(CISA)이 랜섬웨어 조직들이 VMware ESXi의 고위험 샌드박스 탈출 취약점(CVE-2025-22225)을 악용하고 있음을 확인했다고 보도했습니다. 해당 취약점은 과거 제로데이 공격에도 사용된 바 있으며, Broadcom은 2025년 3월 이를 패치했습니다. 그러나 이번 사례는 현장의 중요한 현실을 보여줍니다. 조직이 노후화되었거나 지원이 종료된 인프라를 계속 운영할 경우, 패치가 공개되었더라도 실제 보안 리스크와의 격차는 위험할 정도로 커질 수 있습니다.
이 문제는 단순한 취약점 관리 차원을 넘어서는 시점에서 발생하고 있습니다. 많은 기업들은 제품 수명 주기, 지원 정책 변화, 예산 압박, 그리고 비즈니스 중단 없이 레거시 가상화 환경의 보안을 유지해야 하는 운영상의 복잡성까지 동시에 해결해야 하는 상황에 놓여 있습니다.
정책의 문제: 더 이상 패치가 선택지가 아닌 상황
많은 조직에서 이제 패치 적용의 장벽은 단순히 다운타임이나 운영 부담의 문제가 아닙니다. 라이선스 준수 문제가 핵심으로 떠오르고 있습니다.
Broadcom의 VMware 인수 이후, 영구 라이선스에 대한 지원 정책은 근본적으로 변화했습니다. 핵심 문제는 지원 기간이 종료된 VMware 버전을 계속 사용하면서 구독형 모델로 전환하지 않은 경우, 공식 패치를 법적·기술적으로 받을 수 없게 된다는 점입니다.
현재 많은 고객이 직면한 상황은 다음과 같습니다:
- vSphere 7.x 사용자: 2025년 10월 일반 지원이 종료되었습니다. 현재는 “기술 지원” 단계(2027년 10월까지)에 있으며, 신규 보안 패치는 제공되지 않습니다.
- vSphere 6.x 및 이전 버전: 이미 일반 지원 종료(EoGS) 시점을 한참 지난 상태입니다.
- 유지보수 계약이 만료된 고객: vSphere 8.x와 같은 지원 버전을 사용하더라도, 유지보수 계약이 만료되면 업데이트를 받을 수 없습니다. Tesco와 같은 사례에서 볼 수 있듯이, 구독형 모델로 전환하지 않으면 업데이트 설치가 불가능하다는 안내를 받고 있습니다.
이로 인해 매우 위험한 역설이 발생합니다. 가장 취약한 시스템일수록 지원이 종료된 버전에 묶여 있으며, 앞으로도 패치를 받을 수 없는 구조에 놓이게 됩니다. 공격자들은 이러한 상황을 잘 알고 있습니다. 이들은 패치가 불가능한 구버전 시스템을 집중적으로 탐색하며, CVE-2021-21974와 같은 취약점이 사실상 지속적으로 열린 공격 경로로 남아 있다는 점을 악용합니다.
패치되지 않은 시스템을 노린 공격의 구조
ESXiArgs 랜섬웨어 공격은 초기 취약점을 방치할 경우 얼마나 큰 피해로 이어질 수 있는지를 보여주는 대표적인 사례입니다. 특히 이 공격은 비교적 은밀하게 진행되다가, 일정 시점 이후 치명적인 결과를 초래하는 ‘저강도·지속형’ 공격의 전형적인 패턴을 따릅니다. 분석 결과에 따르면, CVE-2021-21974 취약점을 통해 초기 침투가 이루어진 이후 공격은 다음과 같은 단계로 전개됩니다:
- 초기 침투 (CVE-2021-21974): 공격자는 UDP 포트 427을 통해 OpenSLP 서비스의 힙 오버플로우 취약점을 악용하여 원격 코드 실행 권한을 획득합니다.
- 악성 파일 배포: /tmp/ 디렉터리에 encrypt, encrypt.sh, public.pem 등의 악성 파일을 생성합니다.
- 탐색 및 암호화: 랜섬웨어는 모든 스토리지 볼륨을 탐색하며, .vmdk(가상 디스크), .vmx(가상 머신 구성 파일), .vswp(스왑 파일)과 같은 핵심 파일을 주요 대상으로 삼습니다. 이후 알고리즘과 RSA 암호화를 조합하여 파일을 암호화합니다.
- 방어 회피: 복구를 어렵게 만들기 위해 시스템 로그, 예약 작업, 백업 파일 등을 삭제합니다.
- 랜섬 노트 생성: 시스템 내에 How to Restore Your Files.html 파일을 생성하여 금전 지불을 요구합니다.
지원이 종료된 VMware 버전을 사용하는 조직의 경우, 기존 보안 권고에서 제시하는 ‘패치 적용’이나 ‘버전 업그레이드’와 같은 대응 방안은 사실상 선택지가 되지 않습니다. 결과적으로 조직은 몸값을 지불하거나(권장되지 않음), 데이터를 상실하는 위험을 감수해야 하는 상황에 놓이게 됩니다.
회복탄력적인 미래 구축: 패치 사이클을 넘어선 보안 전략
이번 사례는 IT 전략에서 중요한 변화를 시사합니다. 이제 보안 업데이트를 적용할 수 없는 인프라를 운영하는 것은 더 이상 감당할 수 없는 리스크입니다. 특히 공급업체의 패치 사이클에 의존하는 구조, 그리고 해당 사이클이 엄격한 라이선스 조건이 적용된 구독 모델에 종속되어 있는 경우, 이는 전체 보안 체계에 단일 실패 지점을 초래할 수 있습니다.
파트너 고객을 포함해 이러한 문제에 직면한 모든 조직에게 지금은 보안을 사후적으로 추가하는 방식이 아니라, 인프라 설계 단계부터 보안을 내재화한 대안을 검토해야 할 시점입니다.
Sangfor Virtualization 은 이러한 요구에 대응할 수 있는 효과적인 대안을 제공합니다. Sangfor Hypervisor는 단순한 가상화 플랫폼이 아니라, 보안을 핵심으로 설계된 통합 데이터센터 솔루션입니다.
다음은 Sangfor가 ESXiArgs와 같은 문제의 근본 원인을 어떻게 해결하는지에 대한 설명입니다.
- 통합 보안 및 인프라: Sangfor HCI는 별도의 보안 솔루션을 추가로 구성해야 하는 분산형 구조와 달리, 랜섬웨어 방어 기능, 차세대 방화벽, 마이크로 세그멘테이션을 네이티브로 통합합니다. 이러한 “추가하는 보안이 아닌, 내재된 보안(Built-in)” 구조를 통해 보안 정책이 인프라 자체에 포함됩니다.
- 사전 위협 탐지: AI와 행위 기반 분석을 활용하여 대량 파일 암호화, 백업 삭제와 같은 랜섬웨어 행위를 실시간으로 탐지합니다. 이를 통해 실제 피해가 발생하기 전에 공격을 차단할 수 있습니다.
- 패치 의존성 문제 해소: Sangfor는 핵심 하이퍼바이저 보안에 대해 제3자 벤더의 패치 정책에 의존하지 않는 구조를 제공합니다. 보안 업데이트는 통합된 소프트웨어 스택의 일부로 관리되며, 복잡한 라이선스 제약 없이 인프라의 지속적인 보안성과 회복탄력성을 유지할 수 있습니다.
- 운영 간소화: 레거시 VMware 환경에서 Sangfor HCI로 전환할 경우 데이터센터 운영이 크게 단순화됩니다. 라이선스 구조를 간소화하고 총소유비용(TCO)을 절감할 수 있으며, 컴퓨팅과 보안을 단일 인터페이스(Single Pane of Glass)에서 통합 관리할 수 있습니다.
- 기술과 서비스의 결합: Sangfor의 MDR 서비스를 통해 가상화 인프라 전반을 모니터링하고 잠재적인 랜섬웨어 활동을 탐지할 수 있습니다. 엔드포인트 및 네트워크 센서는 HCI와 네이티브로 통합되어 가시성을 확보하며, 이를 기반으로 보안 위협에 대한 신속한 대응이 가능합니다. 이를 통해 Sangfor 솔루션은 단순한 가상화 플랫폼을 넘어, 통합 보안 컴퓨팅 환경으로 확장됩니다.
다음 단계: 무엇을 해야 할까요?
| 단계 | VMware 접근 방식 | Sangfor 접근 방식 |
| 1. 첫 단계 실행 | VMware 파트너 또는 영업 담당자와 연락하여 라이선스 옵션을 논의합니다. | Sangfor에 문의하여 현재 VMware 환경을 진단하고 잠재적인 리스크를 파악합니다. |
| 2. 업그레이드 계획 수립 | 패치를 받기 위해 구독 및 라이선스 모델을 먼저 업그레이드합니다. | 맞춤형 마이그레이션 계획과 함께 실제 운영 가능한 데모 환경을 제공합니다. |
| 3. 단기 대응 적용 | 라이선스 조건이 허용되는 경우에 한해 패치를 다운로드합니다. | 분산된 패치 사이클에 의존하지 않는 내재형 보안을 갖춘 Sangfor Virtualization으로 전환합니다. |
| 4. 운영 복구 | 문제가 발생한 이후 사후적으로 대응하여 운영을 복구합니다. | 통합된 랜섬웨어 방어, AI 기반 탐지, 마이크로 세그멘테이션을 통해 사전 예방 중심의 보안을 구현합니다. |
ESXiArgs 사태는 단순한 랜섬웨어 공격 사례를 넘어, 현재 운영 모델의 구조적 한계를 드러내는 신호입니다. 지원이 종료되어 더 이상 패치를 적용할 수 없는 레거시 시스템에 의존하는 것은 단순히 리스크를 감수하는 수준이 아니라, 위험을 자초하는 선택이 될 수 있습니다.
보안이 인프라에 내재되어 지속적으로 업데이트되는 Sangfor Virtualization과 같은 플랫폼으로 전환함으로써, 취약성과 비인가 상태에 의존하는 구조에서 벗어날 수 있습니다. 이제는 반복되는 보안 위협의 악순환을 끊어낼 시점입니다. 다음 공격이 발생한 이후에 대응하기보다는, 지금 선제적으로 대응하시기 바랍니다.
