Cybersecurity Dive에 따르면, 랜섬웨어 그룹을 포함한 여러 위협 행위자들이 Palo Alto Networks의 GlobalProtect 포털에서 발견된 고심각도 취약점을 악용했습니다. Palo Alto GlobalProtect 취약점을 이용한 랜섬웨어 활동은 외부인이 네트워크에 접근하지 못하도록 만든 도구가 공격자에게는 정문이 될 수 있다는 점을 뼈아프게 상기시켜 줍니다.

원문 보고서는 간략하며, 이 기사는 확인된 내용만을 다룹니다. 해당 취약점은 고심각도로 평가되며, GlobalProtect 포털에 존재하고, 현재 하나 이상의 그룹이 이를 악용하고 있습니다. 보고서에는 CVE 식별자나 기술적 메커니즘에 대한 세부 내용이 명시되어 있지 않으므로, 이 기사에서도 다루지 않습니다. 관리자는 구체적인 내용은 벤더의 자체 권고문을 참고해야 합니다.

GlobalProtect란 무엇이며 이 취약점이 중요한 이유

GlobalProtect는 Palo Alto Networks의 원격 접속 솔루션입니다. 조직은 이를 통해 직원들이 사무실 외부에서 내부 리소스에 연결할 수 있도록 하며, 포털은 사용자와 기기가 가장 먼저 접속하는 구성 요소입니다. 인터넷에서 접근 가능해야 하기 때문에 설계상 외부에 노출되어 있습니다.

이러한 노출 때문에 이 구성 요소의 고심각도 취약점이 특히 매력적입니다. 게이트웨이나 포털은 공용 인터넷과 사설 시스템 사이의 경계에 위치합니다. 공격자가 이를 악용할 수 있다면, 피싱 캠페인이 유발하는 것보다 더 적은 경보와 함께 이미 경계 내부에서 침투를 시작할 수 있습니다.

랜섬웨어 그룹이 취약점을 악용하는 방식

보고서의 핵심 세부 사항은 악용의 범위입니다. 여러 위협 행위자가 이 취약점을 사용하고 있으며, 랜섬웨어 운영자들도 그중에 포함되어 있습니다. 취약점이 단일 행위자에서 여러 행위자로 확산될 때는 일반적으로 공격 경로가 재사용할 수 있을 만큼 신뢰할 수 있고 악용 지식이 퍼지고 있음을 의미합니다.

랜섬웨어 조직에게 VPN 포털과 같은 엣지 기기는 네트워크 더 깊은 곳의 엔드포인트 보안 상당 부분을 우회하는 진입 경로를 제공하기 때문에 가치가 있습니다. 일단 내부에 들어오면 공격자는 일반적으로 환경을 파악하고, 더 넓은 접근 권한을 얻고, 데이터를 탈취하고, 암호화를 배포합니다. BlackCat/ALPHV 랜섬웨어 프로필은 정교한 조직이 거점을 확보한 후 어떻게 활동하는지 보여줍니다. 마찬가지로 Gunra 랜섬웨어에 대한 FBI 권고문은 탈취한 데이터를 암호화와 함께 협박 수단으로 사용하는 이중 갈취 작전을 설명합니다.

원문 기사에는 어떤 랜섬웨어 그룹이 관련되어 있는지 또는 피해자가 몇 명인지 명시되어 있지 않으므로, 이에 대해서는 추측하지 않겠습니다.

IT 관리자가 지금 해야 할 일: 패치 및 침해 흔적 탐색

조직에서 GlobalProtect를 운영하고 있다면 이를 긴급 사안으로 취급하십시오. 실질적인 조치:

  • 벤더의 수정 사항을 적용하십시오. Palo Alto Networks의 공식 보안 권고문에서 관련 패치나 완화 조치를 확인하고 가능한 한 빨리 적용하십시오.
  • 노출 가능성을 가정하십시오. 패치는 문을 닫을 뿐 이미 들어온 공격자를 제거하지는 못합니다. 비정상적인 VPN 세션, 예상치 못한 위치에서의 로그인, 또는 새로운 계정과 기기가 있는지 로그를 검토하십시오.
  • 침해 지표를 탐색하십시오. 벤더와 보안 기관이 공개한 지표를 활용하고, VPN 서브넷에서 내부 시스템으로의 측면 이동 징후를 찾으십시오.
  • 필요한 경우 자격 증명을 재설정하십시오. 의심스러운 활동을 발견하면 게이트웨이에 접근한 계정의 비밀번호와 키를 교체하십시오.
  • 노출을 줄이십시오. 관리 인터페이스에 접근할 수 있는 대상을 제한하고 필요한 서비스만 인터넷에 공개되었는지 확인하십시오.
  • 백업을 점검하십시오. 랜섬웨어 복구는 백업에 달려 있으므로 최신 상태이고 오프라인 또는 불변이며 테스트되었는지 확인하십시오.

VPN 게이트웨이가 단일 장애점인가?

이 사건은 더 광범위한 설계 질문을 제기합니다. 인터넷에 노출된 어플라이언스 하나가 공격자와 내부 네트워크 사이의 유일한 장벽이라면, 단 하나의 취약점으로 다른 많은 투자가 무력화될 수 있습니다.

네트워크 세분화가 도움이 됩니다. 침해된 VPN 세션이 모든 것에 접근할 수 있어서는 안 됩니다. 최소 권한 접근은 단일 계정이 할 수 있는 일을 제한하며, VPN 활동의 이상 징후를 모니터링하면 침입과 탐지 사이의 시간을 단축합니다. 랜섬웨어와 국가 연계 활동 모두 동일한 취약점인 엣지 인프라를 악용하는 경향이 있으며, 미네소타 상수도 시스템에 대한 이란의 공격에서 볼 수 있듯이 노출된 원격 접속 경로가 기업 사무실을 훨씬 넘어 중요할 수 있음을 보여줍니다.

이것이 당신에게 의미하는 바

GlobalProtect를 사용하는 IT 또는 보안 전문가라면, 우선순위는 다음 유지보수 창이 아니라 지금 패치하고 침해 여부를 확인하는 것입니다. 회사 VPN을 통해 연결하는 직원이라면 직접 변경할 필요는 없지만, IT 팀에 게이트웨이가 업데이트되었는지 문의하고 예상치 못한 비밀번호 재설정이나 MFA 요청에 주의할 수 있습니다.

기업 게이트웨이가 아닌 소비자용 VPN을 사용한다면, 이 특정 보고서는 해당되지 않습니다. 일반적인 교훈은 여전히 적용됩니다. VPN 소프트웨어를 최신 상태로 유지하고, 계정에 강력하고 고유한 비밀번호와 다중 인증을 사용하십시오.

핵심 요점

  • 랜섬웨어 그룹을 포함한 여러 위협 행위자가 GlobalProtect 포털의 고심각도 취약점을 악용하고 있습니다.
  • Palo Alto Networks의 공식 지침에 따라 패치한 후, 공격자가 이미 내부에 있다는 징후를 탐색하십시오.
  • 네트워크를 세분화하고 권한을 제한하여 침해된 게이트웨이 하나가 모든 것을 노출하지 않도록 하십시오.
  • 필요하기 전에 백업을 검증하십시오.

Palo Alto GlobalProtect 취약점을 이용한 랜섬웨어 활동은 엣지 기기 접근이 얼마나 빠르게 갈취로 이어질 수 있는지 보여줍니다. 최초 거점 확보 이후 어떤 일이 일어나는지 알아보려면 BlackCat/ALPHV 프로필을 읽은 후, 게이트웨이를 점검하십시오.