PEERSTITCH라는 새로운 임플란트는 네트워크를 보호하는 장치 자체가 공격자의 은신처가 될 수 있다는 점을 상기시켜 줍니다. 이번 발견에 관한 보도에 따르면, PEERSTITCH는 통신 관리 서비스 제공업체(MSP)에 대한 장기간의 침해 과정에서 FortiGate 방화벽을 대상으로 배포된 메모리 상주 ARM64 임플란트입니다. 이 사례는 PEERSTITCH FortiGate 메모리 상주 악성코드가 대형 제공업체부터 소규모 사무실에 이르기까지 방화벽이나 라우터를 운영하는 모든 사람에게 왜 우려되는지를 보여줍니다.
공개된 세부 정보는 제한적이므로, 이 글은 보도된 내용에만 충실하고 나머지는 추측하지 않습니다.
PEERSTITCH가 통신 제공업체 네트워크 내부에서 한 일
핵심 사실은 간단합니다. PEERSTITCH는 FortiGate 방화벽을 대상으로 사용되었으며, ARM64 프로세서용으로 만들어진 메모리 상주 임플란트로 실행되었습니다. 이 활동은 통신 관리 서비스 제공업체에 대한 장기간의 침해의 일부였습니다.
여기서 두 가지 세부 사항이 중요합니다. 첫째, 표적은 관리 서비스 제공업체였습니다. MSP는 다른 조직을 대신하여 인프라를 운영하므로, 하나에 발판을 마련하면 그 자체의 경계를 훨씬 넘어서는 가치가 있을 수 있습니다. 둘째, 침해는 장기간으로 묘사되었는데, 이는 공격자가 들이닥쳐 훔쳐가는 대신 조용히 자리를 지키기를 원했다는 점을 시사합니다.
원 자료는 공격자가 처음 어떻게 침입했는지 또는 그 접근 권한으로 무엇을 했는지 명시하지 않으며, 우리는 어느 쪽에 대해서도 추측하지 않을 것입니다.
방화벽의 메모리 상주 악성코드가 탐지하기 어려운 이유
대부분의 사람들은 악성코드를 디스크에 있는 파일로 생각합니다. 메모리 상주 악성코드는 다르게 작동합니다. 즉, 장치의 실행 중인 메모리(RAM)에 상주하므로 스캐너가 찾을 수 있는 영구 저장된 것이 거의 또는 전혀 없을 수 있습니다. 메모리는 장치의 전원이 꺼지면 지워지기 때문에, 이런 종류의 임플란트는 재시작 후 흔적을 거의 남기지 않을 수 있습니다.
방화벽 및 기타 네트워크 경계 장치는 여러 가지 이유로 이를 더 어렵게 만듭니다:
- 폐쇄형 어플라이언스입니다. 노트북과 달리, 일반적으로 방화벽에 자체 엔드포인트 보안 도구를 설치할 수 없습니다.
- ARM64 하드웨어는 많은 분석가에게 덜 익숙합니다. 데스크톱 및 서버 시스템을 중심으로 구축된 도구와 습관이 항상 그대로 적용되지는 않습니다.
- 경계에 위치합니다. 경계 장치는 설계상 신뢰되며, 그 트래픽은 종종 워크스테이션의 트래픽보다 덜 검사받습니다.
- 로그가 빈약할 수 있습니다. 임플란트가 디스크에 많이 기록하지 않으면, 방어자는 사후에 조사할 아티팩트가 더 적습니다.
이 탐지 격차는 방화벽에만 국한된 것이 아닙니다. 랜섬웨어 피해자의 49%가 공격을 탐지하기 전에 데이터를 잃는다는 최근 보도는 방어자가 침해를 얼마나 늦게 알게 되는지를 보여줍니다. 아무도 주의 깊게 지켜보지 않는 장치에 있는 은밀한 도구는 그 창을 더욱 넓힐 뿐입니다. 비슷한 주제가 Chaos 랜섬웨어 그룹의 msaRAT가 Chrome과 Edge에 숨는다는 사례에서도 나타납니다. 공격자는 정상 활동에 섞여 들어가는 장소를 계속 선택합니다.
이것이 당신에게 의미하는 것
통신 사업자가 아니라면, 이것이 자신에게 영향을 미치는지 묻는 것이 타당합니다. 이 사례의 직접적인 표적은 관리 서비스 제공업체였으며, 보도에서 가정 사용자가 특별히 표적이 되었다는 징후는 없습니다. 그렇지만 교훈은 폭넓게 적용됩니다.
가정 및 소규모 사업장의 라우터와 방화벽 소유자는 동일한 기본 가정에 의존합니다. 즉, 네트워크 경계에 있는 장치가 신뢰할 수 있다는 것입니다. 메모리 상주 임플란트는 이 가정에 도전합니다. 왜냐하면 침해된 장치는 외부에서 완벽하게 정상처럼 보일 수 있기 때문입니다. FortiGate 방화벽을 사용하거나 원격 관리 기능이 있는 방화벽이나 라우터를 사용한다면, 당신의 장치는 단순히 그 주변의 보호 계층이 아니라 공격 표면의 일부입니다.
관리 서비스 제공업체나 ISP에 의존하는 경우에도 중요합니다. 그들의 경계 장비는 당신과 인터넷 사이에 있으므로, 그들의 보안 관행은 간접적으로 당신의 보안에 영향을 미칩니다. 제공업체가 네트워크 장치를 어떻게 패치하고 모니터링하는지 묻는 것은 합리적인 질문입니다.
실용적 단계: 업데이트, 노출된 관리 인터페이스, 재부팅 및 로그
이 단계 중 어느 것도 PEERSTITCH와 같은 임플란트에 대한 보호를 보장하지는 않지만, 각각은 공격자가 활동할 여지를 줄여줍니다.
- 펌웨어를 최신 상태로 유지하십시오. 방화벽이나 라우터의 벤더 펌웨어 업데이트를 가능한 한 빨리 설치하고, 벤더의 보안 권고를 구독하여 수정 사항을 신속히 들으십시오.
- 인터넷에 노출된 관리 인터페이스를 닫으십시오. 관리 페이지가 공용 인터넷에서 접근 가능하다면, 내부 네트워크나 전용 관리 경로로 제한하십시오. 강력하고 고유한 관리 비밀번호와 장치가 지원하는 경우 다중 인증을 사용하십시오.
- 재부팅하되, 그것에 의존하지 마십시오. 메모리 상주 코드는 일반적으로 전원 순환 후에도 살아남지 못하므로, 재시작은 단순한 임플란트를 제거할 수 있습니다. 그러나 그것은 치료법이 아닙니다. 근본적인 취약점이 남아 있다면 공격자는 간단히 돌아올 수 있습니다. 재부팅은 패치에 대한 보완으로 취급하고 대체물로 여기지 마십시오.
- 로그를 검토하고 내보내십시오. 익숙하지 않은 관리자 로그인, 예상치 못한 구성 변경, 이상한 아웃바운드 연결을 찾으십시오. 로그를 별도 시스템으로 보내는 것이 도움이 됩니다. 장치를 통제하는 공격자가 그 장치에 저장된 로그를 변조할 수 있기 때문입니다.
- 지원되지 않는 하드웨어를 교체하십시오. 더 이상 보안 업데이트를 받지 못하는 장치는 새로운 문제가 나타날 때 고칠 수 없습니다.
핵심 요점
PEERSTITCH FortiGate 메모리 상주 악성코드는 공격자가 네트워크 경계 장치에 시간을 투자할 의향이 있다는 것을 보여줍니다. 바로 그것이 검사하기 어렵기 때문입니다. 방화벽과 라우터 펌웨어를 패치하고, 관리 인터페이스에 대한 공개 접근을 차단하며, 로그 검토를 사고 후에 하는 일이 아니라 정기적인 습관으로 만드십시오.
방화벽은 정교한 행위자들에게 반복되는 표적입니다. 유사한 사례로, 국가 후원 해커가 CVE-2026-0300을 통해 Palo Alto 방화벽을 공격한 방법을 읽어보고, 자신의 경계 장치가 마지막으로 언제 업데이트되었는지 확인하십시오.
