VPN 취약점 악용 공격 증가

VPN (Virtual Private Network)
주로 서버에 대한 원격 접속 용도로 사용되며, 공용 네트워크를 통해 내부 시스템 자원에 접근할 목적으로 쓰이는 가상 사설 네트워크 ¹⁾

COVID-19로 인한 재택근무가 증가하고, 이에 대한 보안 대책으로 기업에서 VPN 사용이 늘어나고 있다.

VPN 제품 취약점을 이용한 공격이 성공한다면, 해당 제품이 패치되기까지 동일한 제품을 사용하는 다른 기업들조차 영향을 받을 수 있다.
알려진 VPN 취약점은 패치가 신속히 제공되지만, 일부 사용자들은 패치 하지 않고 그대로 사용할 것이며, 공격자는 이를 잘 알고 있다.

2021년 6월, 한국원자력연구원, KAI (한국항공우주산업)가 북한의 소행으로 추정되는 해킹 공격에 당한 것으로 알려졌다.

한국원자력연구원 해킹 내용

– VPN 취약점을 통해 외부인이 일부 시스템에 접속한 이력 확인
– 13개 외부 IP주소에서 VPN 시스템 비인가 접속
– 피해 IP주소: VPN, 메일 시스템, KMS 인증 서버 (Windows, Unix)

외부 IP주소 13개 분석 결과 이전에도 사용된 적이 있는 Kimsuky (김수키) IP주소로 확인되어 북한 소행으로 추정하고 있다.
KMS 인증서버는 각종 프로그램의 인증을 해주는 역할을 수행한다.
KMS 인증서버를 통해 악성코드를 유포한다면 피해 범위가 대폭 늘어날 수 있다.
한국원자력연구원은 공격자 IP주소를 외부망 방화벽 및 IPS에서 차단하여 긴급 조치했다. ²⁾

한국원자력연구원과 같은 VPN 제품을 사용하고 있던 KAI 역시 해킹당해 중요 정보가 유출됐다.
게다가 해당 VPN 제품은 국내 VPN 1위 업체로 공공기관, 기업, 학교 등 400여 곳에서 사용하고 있다.
해커는 발견한 취약점으로 여러 기관을 동시다발적으로 손쉽게 해킹할 수 있게 됐다.
국정원도 이미 지난 4월부터 해당 제품이 해커에게 뚫렸다는 사실을 파악하고 보안 조치를 요구했다.
하지만, 보안 업데이트 등 대처가 늦어지며 해킹을 막지 못했다. ³⁾

VPN 공격
1. 취약한 계정 사용 ⁴⁾
– 기본 설정, 추측하기 쉬운 계정 ex) admin/admin1234

2. 취약한 VPN 제품 버전 사용
ex) Pulse Connect Secure 9.0R1 ~ 9.0R3.3: 인증되지 않은 사용자가 원격 임의 파일 실행을 수행할 수 있는 인증 우회 취약점 존재 (CVE-2021-22893) ⁵⁾

3. 위장된 VPN 제품 사용
ex) 무료 VPN 사용 시, 백도어 역할 가능성

VPN 관련 공격은 주로 VPN 애플리케이션에서 발견된 취약점을 이용해 주요 데이터를 탈취 혹은 랜섬웨어와 같은 악성코드를 배포한다. 또한, 백도어를 설치하여 지속성을 확보할 수 있다.

보안 권고 사항
1. 사용중인 VPN 제품 취약점 보안 강화 권고