하이퍼바이저 계층은 현대 데이터센터와 클라우드 컴퓨팅 인프라 운영에 핵심적인 역할을 한다. 하이퍼바이저는 가상화를 가능하게 하는 소프트웨어 엔진으로, 하나의 물리적 서버를 여러 개의 독립적인 가상 머신(VM)으로 작동하게 한다. 하이퍼바이저 계층이 보안 침해로 손상되면 보안 전문가들은 이를 흔히 ‘티어 0(Tier-0) 재난’이라고 표현한다. 티어 0 재난은 조직 전체를 순식간에 마비시킬 수 있다.
2025년과 2026년을 거치면서 하이퍼바이저는 안전망 역할을 하던 대상에서 랜섬웨어와 국가 지원 해킹 조직의 주요 공격 대상으로 바뀌었다. 보안 연구원들은 VMware ESXi와 같은 하이퍼바이저를 겨냥한 공격 사례가 2025년 말 전체 랜섬웨어 사고의 거의 0%에서 25%까지 증가했다고 지적했다.
하이퍼바이저 공격자의 공격 방식
공격자의 계산법은 간단하다. 하나의 가상 머신(VM)을 침해하면 하나의 워크로드를 장악할 수 있다. 여기서 더 나아가 하이퍼바이저 계층 전체를 장악할 수 있다. 하이퍼바이저 계층이 침해되면 공격자는 조직 내에서 다음과 같은 행위를 할 수 있다.
- 인프라 전체에 대한 통제권 확보: 가상화 계층의 관리자 권한을 확보하면 공격자는 인프라의 기반부터 시작해 조직의 전체 인프라를 파괴하거나 암호화할 수 있다.
- 기존 시스템 도구 악용(Live off the land): 공격자들은 공격을 실행하기 위해 하이퍼바이저에 내장된 관리 유틸리티를 점점 더 많이 활용하고 있다. 탐지 가능한 악성코드를 별도로 다운로드할 필요 없이 이미 시스템에 존재하는 도구를 이용해 공격을 수행할 수 있다는 의미다.
- 방화벽 및 엔드포인트 보호 우회: 이처럼 정교한 공격 방식은 공격자가 특정 가상 워크로드에서 벗어나 기본 하이퍼바이저를 장악하는 ‘호스트 탈출(escape-to-host)’을 가능하게 한다. 이를 통해 기존 엔드포인트 및 확장 탐지·대응(XDR) 보안 체계와 방화벽을 완전히 우회할 수 있다.
하이퍼바이저에 악영향을 미친 주요 보안 침해 사례
위협 환경을 새롭게 정의한 대표적인 하이퍼바이저 공격 캠페인은 다음과 같다.
1. 스캐터드 스파이더(Scattered Spider): 이 그룹은 ‘초기 접근 브로커(initial access brokers)’로 알려져 있으며, 보안 경계를 침해해 랜섬웨어를 배포하는 데 특화되어 있다. 소비재 기업과 식료품 유통 체인을 겨냥한 공격은 프라이빗 클라우드가 중단되는 것만으로도 수억 달러 규모의 매출이 순식간에 사라질 수 있음을 보여줬다.
2. 브릭스톰(BRICKSTORM) 공격 캠페인: 국가 지원을 받는 공격 세력이 공급망 취약점을 악용해 수행한 공격이다. 이들은 즉각적인 파괴를 시도하는 대신 침해된 하이퍼바이저에 수개월 동안 은밀하게 머물면서 신용카드 데이터와 지식재산이 포함된 가상 하드 디스크를 빼돌렸다.
3. MITRE 침해 사고: MITRE는 사이버 공격자의 행동에 관한 글로벌 지식 기반을 관리하는 조직이다. MITRE가 관리하는 연구 네트워크인 NERVE(Networked Experimentation, Research, and Virtualization Environment)가 여러 취약점 공격이 연쇄적으로 이어진 사이버 공격으로 침해되는 중대한 사고가 발생했다. 이 사건으로 VMware ESXi에 특화된 공격 기법이 MITRE ATT&CK 프레임워크에 포함됐다.
새로운 하이퍼바이저 보안 표준: 런타임 방어
체크리스트 충족에 초점을 맞춘 보안 표준이나 규정 준수 중심의 보안만으로는 최신 하이퍼바이저 공격을 차단하거나 복구하기에 충분하지 않다. 이에 대응하려면 선제적이고 사전 예방적인 런타임 방어 체계로 전환해야 한다. 구체적인 접근 방식은 다음과 같다.
- 취약점 악용 방지: 런타임 모니터링을 통해 위협 행위자가 ESXi[1]를 공격하는 데 사용하는 전술, 기법 및 절차(TTP)를 100% 탐지한다. Vali Cyber® 기술을 기반으로 하는 리미니 프로텍트(Rimini Protect™) 어드밴스드 하이퍼바이저 시큐리티(Advanced Hypervisor Security) 솔루션은 보안 패치가 제공되기 전에도 취약점(CVE)을 악용하는 행위를 차단한다.
- 제로데이 공격 방어: 프로세스 수준에서 하이퍼바이저를 모니터링해 ‘호스트 탈출’이나 ‘기존 시스템 도구 악용’과 같은 공격 기법을 실시간으로 차단한다.
- 텔레메트리 및 가시성 확보: 보안팀이 전체 공격 킬 체인(kill chain)을 파악할 수 있도록 데이터를 제공해 공격자가 어떤 경로로 침입했는지 정확하게 식별할 수 있도록 지원한다.
물론 방화벽과 엔드포인트 보호, 네트워크 마이크로 세분화는 여전히 필요하지만, 이러한 보안 조치만으로는 더 이상 충분하지 않다. 공격자가 조직의 계정 인증 정보를 탈취하면 정문을 통해 아무런 제약 없이 침입할 수 있기 때문이다.
가상화 환경의 보안은 여러 개의 개별 영역으로 나누어 관리하기에는 지나치게 복잡하다. Vali Cyber® 기술을 기반으로 하는 리미니 프로텍트™ 어드밴스드 하이퍼바이저 시큐리티는 Linux 또는 KVM 기반 하이퍼바이저 전반에 선제적이고 고도화된 에이전트 기반 런타임 보안을 제공한다. IT 인프라 및 보안 책임자는 공급업체의 패치가 제공되기 전에도 위협을 실시간으로 탐지하고 격리하며 해결할 수 있다.
이제 기업은 방화벽과 엔드포인트 보호를 넘어, 하이퍼바이저를 직접 보호하는 선제적 런타임 보안 체계를 구축해야 할 시점이다. 실시간 위협 탐지와 차단, 공격 경로에 대한 가시성 확보, 보안 패치 제공 전 취약점 악용 방지 등을 통해 가상 인프라를 겨냥한 랜섬웨어와 정교한 사이버 공격에 선제적으로 대응하는 것이 무엇보다 중요하다.
[1] Rimini Street blog Easily addressing New MITRE ATT&CK® Updates for VMware ESXi, May 25, 2025.
