중국계 해킹그룹 '파이어 앤트', 시스코 라우터 장악해 정보수집 거점으로 악용중

파이어 앤트(Fire Ant)가 침해한 내부 환경을 '다리'로 이용해 실제 목표인 연결된 중요 네트워크로 접근하는 공격 구조. 점프 호스트와 TACACS 서버, 엣지 라우터를 차례로 장악해 추가 침투 경로를 확보했다. (출처: 시그니아)

중국계 사이버 스파이 조직으로 추정되는 '파이어 앤트(Fire Ant)'가 시스코 라우터를 해킹한 뒤 내부 네트워크 통신을 수집하고, 연결된 다른 중요 시스템까지 탐색한 공격이 확인됐다.

사고대응 기업 시그니아(Sygnia)는 8월 30일 공개한 분석에서 파이어 앤트가 시스코 IOS XR(Cisco IOS XR) 라우터와 TACACS 인증 서버, 리눅스 관리 서버 등을 공격했다고 밝혔다.

이번 공격에서 눈에 띄는 점은 라우터를 단순히 침입 통로로 사용한 것이 아니라는 점이다. 공격자는 라우터를 장악한 뒤 내부 통신을 감시하고 정보를 수집하는 거점으로 활용했다.

공격은 한 시스코 IOS XR 라우터에서 정상 설정으로 설명할 수 없는 GRE(Generic Routing Encapsulation, 서로 떨어진 네트워크를 연결하는 터널 기술) 터널이 발견되면서 드러났다.

GRE 터널은 서로 떨어진 네트워크를 연결할 때 사용하는 기능이다. 하지만 해당 장비에서는 터널이 실제로 동작하고 있었음에도 설정 파일이나 변경 기록에서 관련 내용을 찾을 수 없었다.

추가 분석 결과 공격자는 라우터 내부에 악성코드를 설치하고 흔적을 숨긴 것으로 확인됐다.

악성코드는 정상 시스템 서비스처럼 위장했으며 특정 시간에만 동작하도록 설정돼 있었다. 관리자가 장비를 점검하는 시점에 악성 프로세스가 보이지 않을 가능성을 높이기 위한 방식이다.

공격자는 시스템 로그도 조작했다. GRE 터널이나 악성 행위와 관련된 일부 로그가 관리자에게 보이지 않도록 막고, 장비 상태를 확인하는 과정에서도 공격 흔적이 쉽게 드러나지 않도록 했다.

라우터에서 공격자 서버로 텔넷(Telnet) 연결을 만들고, 기록이 남지 않는 셸에 접속할 수 있는 기능도 확인됐다.

특히 공격자는 장악한 라우터를 이용해 네트워크 패킷을 직접 수집했다.

여러 라우터에서 통신 내용을 PCAP 파일로 저장한 뒤 외부 FTP 서버로 전송했다. PCAP 파일에는 내부 시스템 간 통신과 관리자 접속, 인증 과정, 네트워크 구조 등을 파악할 수 있는 정보가 담길 수 있다.

라우터는 기업 내부의 많은 통신이 지나가는 장비다. 공격자가 라우터를 장악하면 특정 서버 한 대를 해킹했을 때보다 훨씬 넓은 범위의 네트워크 정보를 확보할 수 있다.

공격자는 라우터에 만든 비밀 GRE 터널을 오래된 리눅스 서버와 연결했다.

이 서버는 내부 정찰을 위한 중간 거점으로 사용됐다. 공격자는 여기서 SSH, 웹 서비스, SMB/RPC, RDP 등 주요 서비스가 열려 있는 시스템을 찾아 연결된 네트워크를 조사했다.

조사 대상에는 중요 인프라와 연결된 시스템도 포함됐다.

시그니아는 이 같은 방식을 '타깃 뒤의 타깃(Target Behind the Target)'이라고 설명했다.

처음 해킹한 조직이 최종 공격 대상이 아닐 수 있다는 의미다. 먼저 한 조직의 라우터와 관리 시스템을 장악한 뒤 해당 조직이 연결돼 있거나 신뢰 관계를 맺고 있는 다른 중요 네트워크로 이동할 통로를 찾는 방식이다.

새로운 리눅스 백도어도 발견됐다.

'브리지에이전트(BridgeAgent)'로 명명된 이 악성코드는 정상적인 자빅스(Zabbix) 모니터링 프로그램으로 위장했다.

브리지에이전트는 관리자 권한으로 자동 실행되도록 등록돼 있었으며, 공격자 서버와 통신해 원격 명령을 실행하거나 추가 악성파일을 내려받을 수 있었다.

파이어 앤트는 네트워크 장비 관리자 인증에 사용하는 TACACS 서버도 공격했다.

TACACS 서버가 침해되면 라우터와 스위치 등에 접속하는 관리자 계정이나 인증 과정이 공격자에게 노출될 수 있다.

파이어 앤트의 공격은 중국계 사이버 스파이 조직 'UNC3886'의 기존 활동과 상당 부분 유사한 것으로 분석됐다.

UNC3886은 과거 브이엠웨어(VMware) ESXi와 vCenter, 포티넷(Fortinet) 장비, 주니퍼 네트웍스(Juniper Networks) 라우터 등을 공격한 조직이다.

구글 맨디언트(Google Mandiant)가 공개한 이전 분석에서도 UNC3886은 일반 PC보다 보안 감시가 상대적으로 어려운 가상화 시스템과 네트워크 장비를 집중적으로 노린 것으로 확인됐다.

다만 시그니아는 일부 파일 이름과 저장 위치, 악성코드 구현 방식에 차이가 있어 파이어 앤트와 UNC3886을 동일한 조직으로 단정하지는 않았다.

이번 공격에서 보안 담당자가 특히 주의해야 할 부분은 로그 조작이다.

공격자는 라우터의 로그 일부를 숨기고 리눅스 서버의 파일 시간정보까지 변경했다. 침해된 장비에 남아 있는 기록만 확인할 경우 공격 흔적을 놓칠 수 있다는 의미다.

따라서 라우터나 네트워크 관리 장비의 침해가 의심될 경우 장비 내부 로그뿐 아니라 외부 로그 서버, 인증 기록, 네트워크 트래픽 등을 함께 비교해 확인해야 한다.

이번 사례는 사이버 공격자들이 서버나 사용자 PC를 넘어 라우터와 인증 서버처럼 기업 네트워크의 중심에 있는 장비를 직접 노리고 있다는 점을 보여준다.

특히 라우터가 공격자에게 넘어가면 내부 통신을 감시할 수 있을 뿐 아니라 해당 조직과 연결된 다른 네트워크를 공격하기 위한 발판으로도 악용될 수 있어 각별한 점검이 필요하다.