새롭게 보고된 캠페인은 공격자들이 VMware ESX 제로데이를 다른 취약점들과 결합해 네트워크를 보호하는 기기를 침투하는 데 어떻게 활용하는지 보여준다. Help Net Security에 따르면, 공격자들은 VMware ESX 제로데이를 악용해 흔적을 은폐한 뒤, PHP2Shell 취약점들을 Fragnesia라는 버그와 연쇄적으로 결합해 방화벽을 루팅했다. 해당 출처의 헤드라인은 이 활동을 중국 해커들의 소행으로 지목한다.

공개된 요약은 짧기 때문에, 이 글은 보고된 내용에만 집중하고 대기업을 넘어 왜 중요한지 설명한다.

VMware ESX 제로데이에 관해 보고된 내용

보고서에서 세 가지 요소가 두드러진다:

  • VMware ESX 제로데이. 제로데이는 수정 패치가 나오기 전에 악용되는 취약점이다. ESX는 하이퍼바이저로, 물리 서버에서 가상 머신을 실행하는 소프트웨어다. 보고서에 따르면 공격자들은 이 취약점을 흔적을 은폐하는 데 사용했으며, 이는 탐지를 회피하는 데 도움이 되었다는 뜻이다.
  • PHP2Shell 취약점. 이들은 또 다른 버그와 연쇄적으로 결합되어 방화벽에 대한 더 깊은 제어권을 얻는 데 사용되었다.
  • Fragnesia. PHP2Shell과 결합되어 공격자들이 방화벽을 "루팅"할 수 있게 했으며, 이는 해당 기기에 대한 최고 수준의 제어권을 획득하는 것을 의미한다.

출처 요약은 영향을 받는 버전이나 패치 상태와 같은 추가 기술적 세부 사항을 제공하지 않으므로, 독자들은 추측하기보다 구체적인 내용은 벤더 권고문을 확인해야 한다.

공격자들이 방화벽과 가상화 호스트를 노리는 이유

방화벽과 하이퍼바이저는 특권적인 위치에 있다. 방화벽은 네트워크와 인터넷 사이의 트래픽을 보고 제어한다. 하이퍼바이저는 여러 시스템을 동시에 호스팅한다. 둘 중 하나를 침해하면 공격자는 일반적인 엔드포인트 보안 도구가 종종 들여다볼 수 없는 유리한 지점을 확보하게 되며, 이는 이 캠페인의 은밀함이라는 주제와 맞아떨어진다.

연쇄 공격 역시 반복되는 패턴이다. 공격자들은 하나의 버그에 의존하기보다 여러 개를 연결해 초기 접근에서 완전한 제어로 이동한다. 우리는 다른 보도에서도 유사한 행태를 보아왔다. 여기에는 중국 UTA0565 해커들의 Chrome 및 Windows 제로데이 연쇄 악용과 중국 연계 그룹들이 제로데이 악용을 위해 경쟁하는 것에 관한 Proofpoint 보고서가 포함된다. 공통된 특징은 속도와 인내심이다. 신속하게 악용하고, 그런 다음 조용히 머무는 것이다.

이것이 당신에게 의미하는 것

대부분의 가정 사용자는 VMware ESX를 운영하지 않는다. 하지만 많은 사람이 라우터나 방화벽에 의존하며, 소규모 기업들은 종종 네트워크 경계에 위치한 방화벽 어플라이언스를 운영한다. 침해된 경계 기기는 이를 통과하는 트래픽, 즉 브라우징 활동과 암호화되지 않은 데이터를 노출시킬 수 있으며, 공격자들은 이를 다른 기기에 도달하기 위한 발판으로 사용할 수 있다.

이것은 공포에 떨 이유가 아니다. 보고서는 표적화된 캠페인을 설명하며, 요약 내용 중 일반 가정이 특별히 표적이 되고 있다고 시사하는 바는 없다. 그러나 이것은 네트워크를 보호하는 기기 자체가 약점이 될 수 있다는 유용한 상기시킴이다. 더 광범위한 국가 연계 활동은 개인들에게도 영향을 미쳐 왔으며, 언론인과 활동가들을 겨냥한 중국 지원 스파이 캠페인에서처럼, 더 높은 위험 프로필을 가진 사람들에게는 기본적인 위생 관리가 중요하다.

VPN은 기기와 VPN 서버 사이의 트래픽을 암호화함으로써 한 계층을 추가할 수 있으며, 이는 침해된 로컬 라우터가 볼 수 있는 것을 제한한다. 그것이 루팅된 방화벽을 고치지는 않으며, 패치를 대체하지도 않는다.

자신의 라우터나 방화벽에서 확인할 수 있는 것

  1. 펌웨어를 업데이트하라. 관리자 페이지나 제조사 사이트에서 최신 버전을 확인하고 설치하라.
  2. 자동 업데이트를 켜라. 기기가 지원한다면.
  3. 원격 관리를 비활성화하라. 정말로 필요하지 않다면, 그리고 관리 페이지를 인터넷에 노출하지 말라.
  4. 기본 자격 증명을 변경하라. 그리고 강력하고 고유한 관리자 비밀번호를 사용하라.
  5. 지원이 종료된 하드웨어를 교체하라. 더 이상 보안 업데이트를 받지 못하는 기기는 새로운 취약점이 나타날 때 고칠 수 없다.
  6. 로그와 설정을 검토하라. 낯선 계정, 변경된 DNS 설정, 예상치 못한 포트 포워딩이 있는지 확인하라.
  7. VMware ESX나 유사한 인프라를 운영한다면, 벤더의 보안 권고문을 따르고 패치를 신속하게 적용하라.

공격자들은 또한 자동화를 점점 더 많이 사용해 작업을 확장하고 있으며, 아시아 전역 해킹을 지원하는 AI 에이전트에 관한 Hunt.io의 발견에서 볼 수 있듯이, 이는 적시 패치를 덜 중요하게가 아니라 더 중요하게 만든다.

핵심 요점

VMware ESX 제로데이 캠페인은 은밀함과 연쇄 공격이 이제 유능한 공격자들에게 표준이 되었으며, 경계 기기가 가치 있는 표적이라는 점을 상기시킨다. 제로데이가 존재하는지 여부를 통제할 수는 없지만, 노출을 줄일 수는 있다. 펌웨어를 최신으로 유지하고, 자동 업데이트를 활성화하고, 원격 접근을 잠그고, 지원이 종료된 장비를 퇴역시켜라. VPN은 여러 계층 중 하나로 취급하라. 오늘 라우터나 방화벽의 펌웨어 버전을 확인하는 것으로 시작하라.