280만개 IP를 이용한 VPN 장비 타깃 대규모 무차별 대입 공격 감지

전 세계 보안 연구원들은 Palo Alto Networks, Ivanti, SonicWall을 포함한 다양한 네트워크 장치의 로그인 자격 증명을 추측하기 위해 약 280만 개의 IP 주소를 사용하는 대규모 무차별 대입 공격이 진행 중이라고 경고했습니다.

무차별 대입 공격은 위협 행위자가 올바른 조합을 찾을 때까지 여러 사용자 이름과 비밀번호를 사용하여 계정이나 장치에 여러 번 로그인을 시도할 때 발생합니다. 올바른 자격 증명을 얻으면 장치를 제어하거나 네트워크에 액세스할 수 있습니다.

위협 모니터링 플랫폼인 Shadowserver Foundation의 새로운 보고서에 따르면, 지난달부터 하루에 약 280만 개의 소스 IP 주소를 사용하여 무차별 대입 공격이 진행되고 있다고 합니다.
해당 IP 주소의 대부분(110만 개)은 브라질에서 왔으며, 그 다음으로 터키, 러시아, 아르헨티나, 모로코, 멕시코가 뒤따랐습니다. 하지만 일반적으로 이 활동에는 많은 국가가 참여하고 있습니다.

주요 대상은 방화벽, VPN, 게이트웨이 및 기타 보안 구성 요소와 같은 에지 보안 장치이며, 이러한 장치는 종종 원격 액세스를 지원하기 위해 인터넷에 직접 연결됩니다.

이러한 공격을 수행하는 장치는 주로 MikroTik, Huawei, Cisco, Boa, ZTE의 라우터와 IoT 장치입니다. 이러한 장치는 대규모 맬웨어 봇넷에 의해 종종 손상됩니다. 섀도우서버 재단은 이 활동이 얼마 전부터 진행되어 왔지만 최근 갑자기 규모가 훨씬 커졌다고 확인했습니다.

ShadowServer는 또한 공격 IP 주소가 여러 네트워크와 AS(자율 시스템)에 분산되어 있으며, 봇넷이나 주거용 프록시 네트워크 관련 작업일 가능성이 높다고 밝혔습니다.

주거용 프록시는 인터넷 서비스 제공업체(ISP)가 개별 고객에게 할당한 IP 주소로, 사이버 범죄자, 데이터 수집, 지역 제한 우회, 광고 검증, 온라인 거래 등에 매력적인 수단입니다.

이러한 프록시는 주거용 네트워크를 통해 인터넷 트래픽을 라우팅하여 사용자를 봇, 데이터 수집기 ​​또는 해커가 아닌 일반 가족 구성원처럼 보이게 합니다.

이 작전에서 표적으로 삼은 것과 같은 게이트웨이 장치는 주거용 프록시 작전에서 프록시 출구 노드로 사용되어 조직의 기업 네트워크를 통해 악성 트래픽을 라우팅할 수 있습니다.

무차별 대입 공격으로부터 장치를 보호하기 위한 조치

에지 장치를 무차별 대입 공격으로부터 보호하려면 다음 단계를 수행해야 합니다.

• 기본 관리자 비밀번호를 강력하고 고유한 비밀번호로 변경하세요.
• 다중 요소 인증(MFA)을 구현합니다.
• 신뢰할 수 있는 IP의 허용 목록을 사용하세요.
• 필요하지 않으면 웹 관리자 인터페이스를 비활성화합니다.

또한, 공격자가 초기 액세스 권한을 얻기 위해 악용할 수 있는 취약점을 없애기 위해 기기를 최신 펌웨어와 보안 패치로 업데이트하는 것이 중요합니다.