이번 주 보도들은 중국 연계 그룹 볼트 타이푼(Volt Typhoon)이 미국 정부 기관, 방산 기업, 핵심 인프라에 대한 공격을 은폐하기 위해 사용했다는 사일런트 트레인(Silent Train)이라는 은밀한 인프라를 설명한다. 볼트 타이푼 사일런트 트레인 네트워크는 관련된 악성코드보다 그것이 무엇으로 구축되었는지에서 더 주목할 만하다. 바로 많은 사람이 전혀 신경 쓰지 않는 소규모 사무실 및 가정용 라우터를 포함한 평범한 감염 기기들이다.
원문 기사가 짧기 때문에, 이 글은 보도된 내용과 독자가 할 수 있는 일을 분리해서 다룬다. 정부나 방산 분야 근처에서 일하지 않더라도 실질적인 교훈은 적용된다.
사일런트 트레인과 볼트 타이푼이 하는 일
보도에 따르면, 볼트 타이푼은 사일런트 트레인을 공격의 출처를 숨기기 위한 은밀한 접속 네트워크로 사용했다. 루멘(Lumen)의 블랙 로터스 랩스(Black Lotus Labs) 연구를 인용한 보도는 이 네트워크가 4건의 제로데이 익스플로잇 캠페인과 연관되어 있다고 전한다. 이 보도는 표적을 네트워크 관리 플랫폼과 기타 기업 제어 시스템으로 설명하며, 트래픽이 해킹된 소규모 사무실 및 재택근무(SOHO) 기기와 IoT 기기의 순환 체인을 통해 릴레이되었다고 밝힌다. 일부 요약에서는 해당 네트워크가 현재 무력화되었다고 설명한다.
제로데이는 벤더가 아직 알지 못하는 결함이므로, 공격자가 이를 사용하기 시작할 때 패치가 존재하지 않는다. 제로데이를 계속 변화하는 릴레이 네트워크와 결합하면 해당 활동을 추적하기가 더 어려워진다. 의심스러운 연결을 발견한 방어자는 그것이 명백히 적대적인 인프라가 아닌 가정이나 소규모 사업체의 평범해 보이는 기기에서 비롯되었음을 알게 될 수 있다.
한 보안 기자의 이 사안에 대한 논평은 관계자들이 오랫동안 볼트 타이푼을 정교하고 은밀하다고 묘사하면서도 기술적 세부 사항을 많이 공개하지 않는 경우가 많았다는 점을 지적했다. 이와 같은 연구가 그 공백을 메우기 시작하고 있다.
감염된 라우터가 국가 해커에게 이상적인 은폐 수단이 되는 이유
라우터, 방화벽, 카메라 및 기타 엣지 기기는 릴레이 지점으로 매력적인 여러 특성을 공유한다:
- 네트워크 경계에 위치한다. 이를 통과하는 트래픽은 정상적인 인터넷 활동처럼 보인다.
- 업데이트가 거의 이루어지지 않는다. 많은 소유자가 라우터를 한 번 설치한 후 다시는 로그인하지 않는다.
- 수명이 종료되는 경우가 많다. 벤더가 패치 발급을 중단하면 알려진 결함이 영구적으로 열린 상태로 남는다.
- 보안 모니터링이 부재하다. 대부분의 가정 및 소규모 사무실 장비에는 엔드포인트 보호가 없으며, 소유자는 로그를 거의 확인하지 않는다.
공격자가 이러한 기기 체인을 제어하면, 정부 표적에 대한 요청이 먼저 여러 주거용 또는 소규모 사업체 IP 주소를 거쳐 튈 수 있다. 해당 기기의 소유자는 아무런 문제를 눈치채지 못할 수 있으며, 그들의 장비는 다른 사람의 공격 인프라의 일부가 된다.
이는 국가 연계 그룹이 고가치 표적을 상대로 패치되지 않은 결함을 연쇄적으로 악용하는 더 광범위한 패턴에 부합한다. 한 예로 크롬과 윈도우 제로데이를 악용한 중국 UTA0565 캠페인이 있다. 중국 그룹이 딥시크 AI로 공격량을 두 배로 늘린 사례에 관한 연구는 이러한 활동의 속도가 계속 증가할 수 있음을 시사한다.
가정 및 소규모 사무실 엣지 기기 보안 방법
국가급 그룹이 정부 기관을 표적으로 삼는 것을 막을 수는 없지만, 그들의 디딤돌이 되는 것은 피할 수 있다. 현실적인 단계는 다음과 같다:
- 라우터의 모델과 펌웨어 버전을 확인한다. 관리자 페이지나 벤더 앱에 로그인하여 사용 가능한 업데이트를 찾는다. 자동 업데이트가 제공되면 활성화한다.
- 기기가 수명 종료되었는지 확인한다. 벤더의 지원 페이지를 찾아본다. 해당 모델이 더 이상 보안 업데이트를 받지 못하면 교체를 계획한다. 어떤 설정도 패치되지 않은 펌웨어를 완전히 보완할 수는 없다.
- 기본 자격 증명을 변경한다. 고유하고 강력한 관리자 비밀번호를 사용하고, 벤더가 기본값으로 제공한 경우 기본 네트워크 이름과 로그인 정보를 변경한다.
- 원격 관리를 비활성화한다. 필요하지 않다면 인터넷으로부터의 관리 접근을 비활성화하고, UPnP와 같은 기능도 사용하지 않으면 함께 비활성화한다.
- 재부팅하고 검토한다. 기기를 주기적으로 재시작하고, 낯선 설정, 알 수 없는 연결 기기, 또는 직접 변경하지 않은 DNS 변경 사항이 있는지 확인한다.
- IoT 장비를 교체하거나 격리한다. 카메라와 스마트 기기를 게스트 네트워크에 배치하고, 더 이상 업데이트를 받지 못하는 기기는 폐기한다.
소규모 사업체는 또한 모든 엣지 기기의 목록을 유지하고, 벤더 권고 사항을 추적할 담당자를 지정하며, 방화벽과 관리 플랫폼을 최우선 패치 대상으로 취급해야 한다.
VPN이 도움이 되는 경우와 그렇지 않은 경우
VPN은 기기와 VPN 제공업체 간의 트래픽을 암호화하여 공용 Wi-Fi와 같은 신뢰할 수 없는 네트워크에서 사용자를 보호하고 인터넷 제공업체로부터 브라우징을 숨긴다. 이는 실질적인 이점이다.
VPN은 취약하거나 감염된 라우터를 고치지 않는다. 공격자가 이미 사용자를 인터넷에 연결하는 기기를 제어하고 있다면, 노트북의 VPN은 그들을 제거하지 못하며, 그들이 사용자의 라우터를 다른 사람의 트래픽 릴레이로 사용하는 것을 막지도 못한다. 또한 펌웨어를 패치하거나 지원되지 않는 하드웨어를 교체하지도 않는다. VPN은 개인정보 보호 계층 중 하나로 생각해야 하며, 네트워크 엣지의 장비 유지 관리를 대체하는 수단이 아니다.
이것이 당신에게 의미하는 것
대부분의 독자에게 사일런트 트레인 이야기는 복도에 있는 라우터가 인터넷 보안의 일부라는 점을 상기시켜 준다. 공격자들은 이러한 기기가 모니터링되지 않고 패치되지 않기 때문에 가치 있게 여긴다. 기기를 최신 상태로 유지하거나 지원이 종료될 때 폐기하면 자신의 네트워크를 보호하고 국가 해커에게 릴레이 지점 하나를 더 내주지 않게 된다.
이번 주에 엣지 기기를 점검하세요
볼트 타이푼 사일런트 트레인 네트워크 교훈을 실제로 적용하기 위해 앞으로 며칠 내에 20분을 할애하라: 라우터의 펌웨어를 확인하고, 여전히 지원되는지 확인하고, 기본 비밀번호를 변경하고, 원격 관리를 비활성화하라. 소규모 사무실을 관리한다면 그 점검을 방화벽, 카메라 및 기타 인터넷에 노출된 장비로 확장하라.
공격자가 경계 기기를 노리는 또 다른 예로, VMware ESX 제로데이와 PHP2Shell 체인이 방화벽 루팅에 사용된 방법에 대해 읽어보라.
