러시아 해커, 전 세계 라우터 공격

러시아 연방보안국 제16센터, 취약한 라우터 검색해 설정파일 탈취

시스코 스마트 인스톨·SNMP·알려진 취약점 이용해 핵심 네트워크 침투

통신·에너지·금융·정부·의료기관에 장비 점검과 구형 프로토콜 차단 권고

 

러시아 정부와 연계된 해킹 조직이 전 세계에 노출된 라우터와 네트워크 장비를 공격해 주요 기반시설 내부망에 침투하고 있다는 공동 경보가 나왔다.

미국과 영국, 캐나다, 호주, 뉴질랜드를 비롯한 12개국 사이버보안·정보기관은 2026년 7월 13일 러시아 정부 지원 해킹에 대비한 네트워크 장비 보안 권고문을 공개했다. 이번 권고문 작성과 승인에는 18개 기관이 참여했다.

공동 권고문은 러시아 연방보안국(FSB) 제16센터 소속 해커들이 보안 설정이 미흡하거나 취약점이 남아 있는 네트워크 장비를 지속해서 공격하고 있다고 밝혔다. 특정 기관을 정해 침투하기보다 인터넷에서 취약한 장비를 대규모로 찾은 뒤 공격하는 방식이다.

주요 공격 대상은 통신, 방위산업, 에너지, 금융, 정부기관, 의료·공공보건 분야다. 정부기관 중에서는 보안 인력과 예산이 상대적으로 부족한 지방정부와 지역 공공기관이 특히 위험한 대상으로 지목됐다.

#기본 비밀번호 사용하는 SNMP 장비 집중 탐색

공격자는 단순 네트워크 관리 프로토콜(SNMP)이 외부에 노출된 인터넷 주소를 먼저 검색했다. 기본값이나 쉽게 추측할 수 있는 ‘커뮤니티 문자열’을 인증정보로 사용하는 장비가 주요 표적이었다.

커뮤니티 문자열은 SNMP 장비에 접근할 때 사용하는 일종의 공동 비밀번호다. 구형 장비에서는 ‘public’이나 ‘private’ 같은 기본값이 그대로 사용되는 사례가 많다. 외부에서 접속할 수 있고 쓰기 권한까지 허용돼 있으면 공격자가 라우터 설정을 바꾸거나 정보를 빼낼 수 있다.

러시아 해커들은 프록시 서버를 거쳐 출발지 주소를 위조한 SNMP 설정 요청을 보냈다. 요청에는 라우터가 자체 설정정보를 파일로 복사하도록 지시하는 객체 식별자(OID)가 포함됐다.

명령을 받은 장비는 설정정보를 ‘config.bkp’ 또는 ‘output.txt’와 같은 파일로 저장했다. 공격자는 해당 파일을 간이 파일 전송 프로토콜(TFTP)이나 파일 전송 프로토콜(FTP)을 통해 자신들이 관리하는 가상서버 또는 이미 장악한 서버로 전송했다.

라우터 설정파일에는 내부 네트워크 구성, 장비 계정, 접속정보, 암호화된 비밀번호, 관리 서버 주소 등이 포함될 수 있다. 공격자는 이를 분석해 내부망 구조를 파악하고 추가 침투 경로를 찾을 수 있다.

#시스코 장비 취약점과 관리 기능도 악용

공격자는 SNMP 설정 오류만 이용하지 않았다. 시스코(Cisco) 장비의 알려진 취약점과 시스코 스마트 인스톨(Cisco Smart Install) 기능, 네트워크 장비 관리용 웹 화면도 공격에 사용했다.

공동 권고문은 공격에 악용된 취약점으로 CVE-2018-0171과 CVE-2008-4128을 제시했다.

CVE-2018-0171은 시스코 스마트 인스톨 클라이언트 기능에서 발생하는 취약점이다. 공격자가 조작된 메시지를 보내 장비에 서비스 거부를 일으키거나 임의 코드를 실행할 수 있다.

CVE-2008-4128은 지원이 끝난 구형 시스코 장비에 영향을 주는 취약점이다. 장비를 교체하지 않고 계속 운영하는 조직이 공격에 노출될 수 있다.

러시아 연방보안국 제16센터와 연계된 활동은 보안업계에서 버서크 베어(Berserk Bear), 에너제틱 베어(Energetic Bear), 크라우칭 예티(Crouching Yeti), 드래곤플라이(Dragonfly), 고스트 블리자드(Ghost Blizzard), 스태틱 툰드라(Static Tundra) 등의 이름으로 추적돼 왔다.

기관들은 각 보안기업이 공격자를 분류하는 기준이 달라 이 명칭들이 모두 정확히 같은 조직을 뜻하는 것은 아니라고 설명했다.

이번에 공개된 공격 방식은 러시아 해킹 조직만 사용하는 기술도 아니다. 중국 연계 조직으로 지목된 솔트 타이푼(Salt Typhoon) 등 다른 국가 지원 해킹 조직도 인터넷에 노출된 라우터와 보안장비를 초기 침투 경로로 이용해 왔다. 공동 권고문은 이번 방어조치를 적용하면 유사한 공격을 함께 차단할 수 있다고 강조했다.

#SNMPv1·v2 끄고 관리 기능 외부 노출 차단해야

공동 권고문은 시스코 스마트 인스톨 기능을 사용하지 않는 장비에서는 즉시 비활성화하라고 권고했다.

SNMPv1과 SNMPv2도 사용을 중단하고 인증과 통신내용 암호화를 지원하는 SNMPv3로 전환해야 한다. SNMPv3는 ‘authPriv’ 방식과 장비가 지원하는 최신 암호화 알고리즘을 적용하는 것이 좋다.

업무상 구형 SNMP를 계속 사용해야 한다면 기본 커뮤니티 문자열을 모두 변경해야 한다. 쓰기 권한은 차단하고 읽기 전용 권한만 허용해야 한다. 접속 가능한 관리 장비와 주소도 접근제어목록(ACL)으로 제한해야 한다.

네트워크 장비의 로컬 계정에는 장비마다 다른 강력한 비밀번호를 설정해야 한다. 시스코 장비에서는 사용자 인증정보 보호에 해시 유형 8을 사용하고, 평문 저장이나 보호 수준이 낮은 유형 0·4·7은 피해야 한다.

일상적인 장비 관리는 중앙 인증 서버를 통해 처리하고, 로컬 계정 로그인은 비상 상황으로 제한해야 한다. 중앙 인증에는 가능한 경우 다중인증을 적용해야 한다. 평소 사용하지 않던 계정이나 조직의 계정 이름 규칙과 맞지 않는 인증정보가 발견되면 즉시 조사해야 한다.

#TFTP·SMI·SNMP 포트 인터넷 접근 제한

외부에서 접근할 필요가 없는 장비 관리용 포트도 차단해야 한다.

권고문은 TFTP에 사용하는 UDP 69번, 시스코 스마트 인스톨에 사용하는 TCP 4786번, SNMP에 사용하는 UDP 161·162번, SNMPv3에 사용하는 TCP·UDP 10161·10162번 포트를 인터넷에서 접근하지 못하도록 설정하라고 밝혔다.

업무상 포트를 열어야 한다면 허용된 관리 장비만 접속할 수 있도록 제한하고 통신기록을 집중 감시해야 한다. 관리 트래픽은 가능하면 일반 업무망과 분리된 별도 관리망에서 처리해야 한다.

SNMP 설정 요청 가운데 장비 설정파일 복사나 외부 전송을 지시하는 OID가 포함됐는지도 확인해야 한다. 침입탐지시스템(IDS)에 관련 탐지 규칙을 추가하면 공격자가 라우터 설정을 외부 서버로 보내려는 시도를 조기에 찾을 수 있다.

네트워크 장비의 소프트웨어와 펌웨어는 최신 상태로 유지해야 한다. 제조사 지원이 종료된 장비는 보안 업데이트를 받을 수 없으므로 현재 지원되는 제품으로 교체해야 한다.

인터넷에 노출된 장비를 파악하지 못하는 문제도 점검해야 한다. 공격표면관리(ASM) 도구 등을 이용해 외부에서 접근 가능한 라우터와 관리 화면, 열린 포트, 기본 비밀번호, 알려진 취약점을 정기적으로 확인할 필요가 있다.

라우터는 외부 인터넷과 내부 네트워크를 연결하는 핵심 장비다. 공격자가 라우터를 장악하면 정상적인 통신을 감시하거나 트래픽을 우회시키고, 내부 시스템 공격을 위한 발판으로 활용할 수 있다.

이번 공동 경보는 새로운 공격 기술보다 기본 설정 관리의 중요성을 다시 확인시켰다. 구형 SNMP, 기본 비밀번호, 불필요하게 열린 관리 포트, 지원이 끝난 장비를 그대로 두는 것만으로 국가 지원 해킹 조직에 내부망 진입 경로를 제공할 수 있다.

국내 보안담당자들도 인터넷에 노출된 라우터와 스위치, 방화벽 등 네트워크 장비를 다시 점검해야 할 상황이다.

SNMP v1·v2와 기본 커뮤니티 문자열 사용 여부를 확인하고, 가능한 장비는 인증과 암호화를 지원하는 SNMP v3로 전환해야 한다. 외부에서 접근할 필요가 없는 SNMP·TFTP·시스코 스마트 인스톨 포트는 차단하고, 장비 설정파일과 관리자 계정이 승인 없이 변경되지 않았는지도 살펴봐야 한다.

제조사 지원이 끝난 장비는 보안 패치를 받을 수 없기 때문에 교체 계획을 세워야 한다. 의심스러운 설정 변경이나 설정파일 외부 전송 기록이 발견되면 장비 한 대만 초기화하는 데 그치지 말고, 해당 장비를 거쳐 내부망까지 침투했는지 조사한 뒤 KISA 등 관계기관에 신고해야 한다.

출처 : 데일리시큐