정보 보안 기업들이 발표한 최근 보고서에 따르면, 국가 지원을 받는 것으로 추정되는 사이버 위협 그룹(UNC5820 또는 CL-STA-0954로 알려짐)이 2024년 9월 통신 부문 전문 조직을 대상으로 복잡한 공격을 성공시켰으며, 피해자의 환경에 장기간 접근을 유지한 것으로 나타났습니다.
공격자들은 초기 접근 단계에서 FortiManager 시스템의 원격 코드 실행 취약점인 CVE-2024-47575(일명 FortiJump)를 악용했습니다. 이 취약점은 2024년 10월 제로데이 취약점으로 수정되었습니다. 또한 이번 공격에는 여러 Fortinet 제품에 영향을 미치는 경로 우회 취약점인 CVE-2025-61624를 악용하는 과정도 포함되었으며, 이를 통해 공격자들은 임의의 파일을 작성하거나 삭제하고 방화벽 운영 체제에 대한 루트 권한을 획득할 수 있었습니다.
PeerStitch 악성코드 배포
Fortinet 취약점 악용은 FortiGate 장치에 PeerStitch라는 이름의 전례 없는 새로운 악성코드 배포로 이어졌습니다. ARM64 프로세서용으로 설계된 이 악성코드는 전적으로 RAM(랜덤 액세스 메모리)에 상주하며, 수신 포트를 열거나 아웃바운드 네트워크 연결을 시작하는 것을 완전히 피합니다. 대신 대상 장치의 합법적인 프로세스에서 생성되는 트래픽을 통해 통신을 전달하는 방식을 사용합니다.
공격 그룹은 라이선스가 없는 가상 FortiGate 장치를 등록하고 피해자의 네트워크 세부 정보와 500개 이상의 관리형 방화벽이 포함된 아카이브를 추출했습니다. 이후 PeerStitch 악성코드는 일회성 프로세스 메모리 패치 주입기 역할을 수행하여, 중앙 스파이웨어 시스템, 트래픽 및 VPN 네트워크 서비스를 표적으로 삼아 기본 보안 검증 규칙을 우회하는 비밀 통신 브리지를 메모리 내에 구축했습니다.
이 뉴스가 중요한 이유
이번 공격은 엣지 장치 및 민감한 통신 네트워크를 겨냥한 악성코드의 복잡성 측면에서 질적인 발전을 보여줍니다. 전적으로 메모리 내에서만 작동하고 하드 디스크에 어떠한 흔적도 남기지 않음으로써, 공격자들은 기존 보안 모니터링 도구를 회피하며 장기적인 지속성을 확보하는 데 성공했습니다. 이는 기업들이 엣지 지향 시스템을 업데이트하고 보안 로그를 지속적으로 검증해야 할 필요성을 시사합니다.