기업 방화벽·VPN 침해로 자격 증명 7만 건 이상 노출

Group-IB와 NyxLab은 Fortinet·Palo Alto Networks의 인터넷 노출 네트워크 장비를 노린 침해 캠페인을 공개했습니다. 공격자는 취약점 악용과 비밀번호 대입으로 접근한 뒤 원격 접속을 유지하고 데이터를 유출했으며, 관련 자격 증명 7만 건 이상을 확인했습니다.

주제: 보안 네트워크 취약점

에디터 노트

이번 캠페인에서 드러난 접근 경로는 노출 장비의 취약점 악용과 흔한 계정 정보 대입입니다. 따라서 패치와 강한 인증 정보를 강조한 댓글은 공격 절차와 맞닿아 있습니다. 다만 연구진이 확인한 것은 7만 건 이상의 관련 자격 증명과 LDAP 덤프이며, 특정 조직의 패치 지연 원인이나 장비별 패치 상태까지 제시하지는 않았습니다. 댓글에서 취약점이 몇 달 전에 패치됐다는 주장이 나오지만, 제공된 조사 내용만으로 실제 패치 시점이나 피해 조직의 대응 여부를 확인할 수는 없습니다. 연구진은 표적 선정이 산업보다 노출 장비의 제품과 위치에 좌우됐다고 설명합니다. 개별 기업을 겨냥한 정교한 조사보다 인터넷에 열린 장비의 관리와 취약점 대응이 침해를 막는 직접적인 쟁점으로 남습니다.

AI 요약

Group-IB와 NyxLab은 Fortinet FortiGate, Palo Alto Networks GlobalProtect 등 인터넷에 노출된 네트워크 장비를 겨냥한 대규모 공격 캠페인을 조사했습니다. 연구진은 공격자를 k0t, CryptoFeel, Member19, QazWsxShop이라는 별칭을 쓰는 위협 행위자로 지목했습니다. 이 행위자는 2025년 10월 처음 관측됐으며, 랜섬웨어 조직 Qilin 및 The Gentlemen과 연계됐을 가능성이 있지만 정확한 관계는 확인되지 않았습니다.

공격 절차와 범위

공격자는 FOFA와 ZoomEye 같은 검색 도구로 인터넷에 노출된 VPN과 방화벽을 찾고 제품별로 표적 목록을 만들었습니다. CVE-2025-64446(FortiWeb 경로 탐색 취약점), CVE-2026-0257(PAN-OS 및 Prisma Access 인증 우회 취약점)을 악용하는 자체 Python 스크립트를 실행하거나 흔한 계정·비밀번호 조합을 대입해 초기 접근을 시도했습니다. 이후 OpenConnect VPN으로 발판을 마련하고 Active Directory, SMB, 설치된 백신 제품 등을 조사해 추가 자격 증명을 수집했습니다.

침입 뒤에는 MeshCentral Agent, Atera, Teramind, AnyDes 등 합법적인 원격 관리 도구와 오픈소스 공격 시뮬레이션 프레임워크 AdaptixC2를 이용해 지속 접근을 설정했습니다. NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam, Mimikatz 같은 관리자·침투 테스트 도구도 내부 이동에 활용했습니다. 수집한 데이터는 Rclone으로 Wasabi S3 버킷과 MEGA 클라우드 드라이브에 반출했습니다.

침해 피해자는 여러 산업과 지역에 걸쳐 있습니다. 연구진은 표적 선정이 개별 기업 조사보다 노출 장비의 제품과 위치를 중심으로 이뤄졌다고 설명했습니다. 피해의 약 38%는 아시아·태평양, 31.9%는 라틴아메리카, 15.8%는 유럽, 12.7%는 중동·북아프리카에 집중됐습니다. 상당수 침해는 2026년 2~6월에 발생했으며 FortiBleed라는 다른 자격 증명 수집 활동과 시기가 겹칩니다.

연구진은 이번 활동과 FortiBleed 사이에서 침해 데이터의 중복이 매우 적었다고 밝혔습니다. 관련 네트워크 장비와 LDAP 덤프에서 노출된 자격 증명은 7만 건 이상 확인됐습니다. 일부 피해자가 이후 Qilin과 The Gentlemen의 데이터 유출 사이트에도 등장했지만, 연구진은 두 랜섬웨어 조직과 k0t의 정확한 연결 관계를 확정하지 않았습니다.

Reddit 반응

@immediate_a982 — 요약: "FortiWeb의 경로 탐색 취약점 CVE-2025-64446과 Palo Alto Networks PAN-OS 및 Prisma Access의 인증 우회 취약점 CVE-2026-0257 같은 알려진 취약점을 겨냥해 만든 Python 스크립트로 장비를 공격하거나, 흔한 사용자 이름과 비밀번호 조합을 대입해 초기 접근을 시도했습니다."
@DeepCedarShadow — 기사에 그렇게 적혀 있네요. 조심해야 합니다.
@Jolly-Warthog-1427 — 하지만 이건 조심성 문제가 아닙니다. 기본적인 IT 보안 문제입니다. 특히 심각한 보안 취약점이 공개되면 소프트웨어를 업데이트하고, 강력한 사용자 이름과 비밀번호를 쓰며 MFA를 항상 적용해야 합니다.
@AlternativeThanks11 — 여느 때처럼 가장 쉬운 침입 경로입니다.
@DaCrunkPorcupine — 이 취약점들은 몇 달 전에 패치되지 않았나요? 2026년에도 심각한 CVE가 공개된 뒤 정기적으로 패치하지 않는다는 게 놀랍습니다.
@AlternativeThanks11 — 아마 이런 일이 있었겠죠. 보안 엔지니어가 경영진에게 "이 CVE가 나왔습니다. 두 곳을 패치해야 합니다"라고 말합니다. 경영진은 기업 방화벽과 VPN을 맞춤 설정한 점, 패치 비용이나 업체에 연락하는 비용을 따지며 "패치에 그렇게 많은 돈이 들까요? 왜 해야 하죠? 비밀번호도 있는데 아무 일 없을 겁니다"라고 답합니다. 보안팀이 있기는 하다고 가정했을 때 말입니다.

원문: The Hacker News / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗