27일 맨디언트가 발간한 '포티매니저 제로데이 공격 (CVE-2024-47575) 조사'에 따르면 이번 공격은 포티매니저의 명령 주입 취약점을 이용해 시스템에 무단 접근하고 명령을 실행하는 방식으로 이뤄졌다.
공격자는 이 취약점을 통해 기존의 보안 경계를 우회하며 관리자 권한을 탈취하고 네트워크 전반에 영향을 미칠 수 있었다. 특히 네트워크 관리 솔루션인 포티매니저를 악용함으로써 기업 내 주요 인프라에 침투할 수 있는 경로를 확보하게 되어, 네트워크 보안과 안정성에 심각한 위협을 가하고 있다.
맨디언트는 "최근 발생한 일련의 사이버 공격들은 미확인 해킹 그룹 'UNC5820'에 의해 주도된 것"이라며 "이 그룹은 포티매니저의 취약점을 활용해 포티게이트(FortiGate) 장치로 수평 이동해 50개 이상의 전 세계 기업 네트워크에 침투했다"고 설명했다.
특히 이번 공격은 복잡한 명령 주입 과정을 통해 시스템에 접근하는 고급 해킹 기법을 활용해 기업의 보안 체계를 쉽게 우회할 수 있었다. 공격자들이 다양한 IP 주소를 사용해 탐지를 피하고 네트워크 내 다른 장비로 악성 명령을 확산시키는 방식도 발견됐다.
첫 번째 공격은 지난 6월 관찰됐다. 당시 공격자들은 특정 IP 주소를 통해 포티매니저에 접근한 후 주요 구성 파일들을 임시 저장 경로에서 압축 파일 형식으로 저장했다.
두 번째 공격은 지난 9월에 발생했다. 공격자는 또 다른 IP 주소를 통해 포티매니저 장치에 접근하여 구성 파일들을 수집해 해당 데이터를 외부로 전송했다. 두 번째 공격 방식이 첫 번째 공격과 매우 비슷해 동일한 해킹 그룹의 소행으로 추정된다. 맨디언트는 이들은 각 공격에서 다중 계층의 암호화된 통신 채널을 활용해 데이터를 외부로 유출하는 정교한 기술을 구사해, 감시 시스템을 우회하는 데 성공했다고 밝혔다.
맨디언트는 "구글 클라우드와의 협력을 통해 보다 강력한 인텔리전스 분석을 제공해 이 같은 위협을 예방하는 데 집중할 것"이라며 "포티매니저 사용자들에게 보안 패치를 즉시 적용하고, 시스템 접근 통제와 로그 모니터링을 강화해 무단 침입에 대비해야 한다"고 강조했다.
유진아기자 gnyu4@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
