포티블리드 유출로 73,000개가 넘는 장치의 포티넷 및 포티게이트 VPN 자격 증명 노출
포티블리드 유출, 수만 개의 VPN 자격 증명 노출
새롭게 발견된 데이터 유출로 명명된 ‘포티블리드’는 전 세계 조직의 73,932개 방화벽 URL에 연결된 것으로 보이는 대량의 포티넷 및 포티게이트 VPN 자격 증명을 노출했습니다.
보안 연구원 밥 디아첸코(Bob Diachenko)는 처음에 사용자 이름, 이메일 주소 및 일반 텍스트 비밀번호를 포함한 유효해 보이는 포티넷 VPN 자격 증명을 포함한 서버를 발견했다고 밝혔습니다. 그가 공유한 스크린샷과 세부 정보에는 셰브론, 삼성, 폭스콘, 콤캐스트, 에이티앤티, 메르세데스-벤츠, 도요타, 시노펙, 스테이트 그리드 등 수많은 회사와 연결된 항목들이 표시되어 있습니다.
"대규모 포티넷/포티게이트 무차별 대입/적극적 악용 캠페인이 작동 중인 것이 밝혀졌습니다,"라고 디아첸코는 LinkedIn에 게시했습니다.
그는 한 파일에만 21,634개의 도메인 이름이 포함되어 있었고, 광범위한 조직에 걸쳐 포티넷 자체도 포함되어 있었다고 말했습니다. 노출된 기록에는 또한 각 목표의 산업군, 수익 및 직원 수를 나열한 주석이 포함되어 있어 데이터가 공격 계획을 위해 정리된 것으로 보였습니다.
디아첸코는 나중에 이 작전이 러시아어권 다중 운영자 위협 그룹에 의해 운영된 것으로 보이며, 이들이 포티게이트 SSL VPN 장치의 자격 증명을 수집했다고 밝혔습니다. 그의 설명에 따르면 공격자들은 약 320,777개의 포티게이트 대상에 대해 약 11.6억 건의 자격 증명 시도를 수행했으며, 또한 163,650개의 마이크로소프트 SQL 서버 시스템에 대해 21억 건의 시도를 추가로 수행했습니다.
그는 또한 그룹이 SSL VPN 인증 해시를 가로채고 이를 해시토폴리스(Hashtopolis)를 통해 관리되는 45-GPU 클러스터로 크랙했으며, 복구된 자격 증명을 사용해 내부 액티브 디렉터리 환경으로 측면 이동(lateral movement)을 수행했다고 전했습니다.
디아첸코는 BleepingComputer에 보낸 자료에서 동일한 서버에서 추가 파일들을 발견했으며, 여기에는 아티팩트, 연결 문자열, 도구, 스크립트 및 로그가 포함되어 있어 활동을 재구성하는 데 도움이 되었다고 밝혔습니다.
그의 조사에 따르면 일본, 대만, 베트남, 이라크 및 터키의 여러 조직이 완전히 침해되었으며, 터키의 한 NATO 방위 계약업체에서는 기밀 문서가 도난당한 것으로 전해졌습니다.
위협 인텔리전스 회사 허드슨 록(Hudson Rock)은 디아첸코로부터 데이터셋을 받은 후 자체 분석을 발표했습니다. 이 회사는 해당 수집물이 알려진 것 중 가장 큰 규모의 포티넷 관련 자격 증명 유출 중 하나로, 194개국에 걸쳐 73,932개의 고유 방화벽 URL을 포함하고 있으며 21,632개의 고유 도메인에 영향을 준다고 설명했습니다.
포티넷 측은 성명에서 해당 보고를 인지하고 있으며 문제는 포티넷 제품의 취약점에서 비롯된 것은 아니라고 밝혔습니다.
출처:
더 많은 기술 뉴스를 Doppler VPN Blog에서 읽어보세요.