지원종료된 오래된 시스코·넷기어 장비 이용…LotL 작전으로 탐지 어려워
[데이터넷] 중국 배후 공격그룹 볼트 타이푼(Volt Typhoon)이 미국의 주요 군사시설과 전력, 교통 등 중요 인프라를 타깃으로 한 침해활동을 벌이고 있다. 이에 미국 정부가 국제공조를 통해 이 작전을 원격으로 무력화하기 위해 협력한다고 밝혔다.
맨디언트는 본지 이메일 질의서의 답변을 통해 “이번 공격이 미군을 지원하는 핵심 인프라에 초점이 맞춰져 있다는 사실에 주의해야 한다. 한국의 경우, 주한미군이 주둔하기 때문에 심각하게 받아들여야 한다. 이 공격그룹은 방어 조직의 탐지 레이더 밑에 숨어 은밀하게 움직이는 경우가 많았기 때문에 이들의 공격을 탐지하기 위해 보다 촘촘한 방어가 필요하다”고 경고했다.
볼트 타이푼은 지난해 5월 마이크로소프트가 괌, 하와이, 기타 미군 기지 주변 중요 인프라를 표적으로 한 침해활동을 감지하고 보고하면서 알려졌다. 이보다 앞서 브론즈 실루엣(BRONZE SILHOETTE)이라는 보안회사가 미국, 영국, 호주의 오래된 시스코와 넷기어의 라우터를 이용한 공격을 벌이고 있다고 경고했다. 이들은 2021년부터 활동해 온 것으로 분석된다.
공격자는 홈오피스, 소규모 사업장에서 사용하는 네트워크 장치 중 이미 오래 전 지원이 종료된 제품을 이용한다. 제조업체의 지원이 종료돼 새로운 취약점 패치가 이뤄지지 않아 쉽게 취약점을 찾아 공격에 이용할 수 있다. 이들은 시스템 내 정상 기능을 이용하는 리빙 오프 더 랜드(LotL) 기법을 사용하고 시스템 관리자 계정을 탈취해 보안탐지를 우회해 높은 권한으로 수행할 수 있는 침해행위를 진행했다.
이들이 주로 노리는 시설은 미국과 서방세계의 주요 인프라인 전력, 교통, 해군 항구, 수자원 처리 공장, 인터넷 서비스 제공업체, 유틸리티 등이다. 영국 통신사 로이터는 이들의 활동이 11월 미국 대선에 영향을 미치기 위한 활동일 수 있다는 취지로 보도한 바 있다.
맨디언트는 중요 인프라를 노리는 공격자들이 파괴적인 활동을 수행하고 있다는 사실을 언급하면서 “이들은 시스템을 파괴하라는 명령이 내려질 때까지 침투한 인프라의 네트워크에서 머무르는 것으로 보인다. 맨디언트는 과거 여러 러시아 사건을 통해 치밀한 조작에서부터 데이터를 와이퍼로 밀 듯 파괴하는 멀웨어 공격인 ‘와이퍼 공격’에 이르기까지 운영 기술을 무너뜨릴 수 있는 다양한 방법이 있다는 것을 확인했다”고 설명했다.
