k0t 위협 행위자: Fortinet/Palo Alto 네트워크 엣지 장비 대규모 캠페인
Dokebi · 2026년 10월 29일 · #tech #security #cti #fortinet #palo-alto #network-security #threat-intelligence
개요
위협 행위자 k0t가 Fortinet FortiGate, FortiWeb, Palo Alto Networks GlobalProtect 장비를 대상으로 한 대규모 캠페인을 수행하고 있습니다. 이 캠페인은 취약점과 약한 자격 증명을 악용하여 지속적 접근을 확보하고 정보를 탈취하며, 70,000개 이상의 자격 증명을 노출시켰습니다. 랜섬웨어 그룹과의 연결 가능성도 제기되고 있습니다.
위협 행위자 프로필
| 항목 | 내용 |
|---|---|
| 위협 행위자 | k0t |
| 공격 유형 | 네트워크 엣지 장비 대상 대규모 캠페인 |
| 타겟 장비 | Fortinet FortiGate, FortiWeb, Palo Alto GlobalProtect |
| 노출 자격 증명 | 70,000개 이상 |
| 연결 | 랜섬웨어 그룹과의 가능한 연계 |
| 발견 | Check Point Research, Group-IB, 2026년 10월 |
공격 체인 (Attack Chain)
- 취약점 악용: Fortinet/Palo Alto 장비의 알려진 취약점 악용
- 약한 자격 증명: 기본/약한 비밀번호를 사용한 브루트포스
- 지속적 접근: 백도어 설치, 설정 변경을 통한 지속성 확보
- 정보 탈취: 네트워크 트래픽, 자격 증명, 설정 정보 수집
- 랜섬웨어 연결: 탈취된 접근 권한을 랜섬웨어 그룹에 판매 또는 직접 배포
타겟 장비 분석
| 장비 | 벤더 | 역할 | 악용 방법 |
|---|---|---|---|
| FortiGate | Fortinet | 차세대 방화벽 (NGFW) | 취약점 악용 + 약한 자격 증명 |
| FortiWeb | Fortinet | 웹 애플리케이션 방화벽 (WAF) | 취약점 악용 + 약한 자격 증명 |
| GlobalProtect | Palo Alto Networks | VPN 게이트웨이 | 취약점 악용 + 약한 자격 증명 |
왜 네트워크 엣지 장비인가?
네트워크 엣지 장비는 다음과 같은 이유로 공격자에게 매력적인 타겟입니다:
- 높은 가치: 네트워크의 관문 역할, 모든 트래픽 통과
- 약한 보안: 패치 지연, 기본 비밀번호 사용, 모니터링 부족
- 지속성: 침해 시 장기간 은밀하게 유지 가능
- 측면 이동: 내부 네트워크로의 진입점 제공
- 공급망 효과: 하나의 장비 침해로 전체 네트워크 노출
70,000개 자격 증명 노출의 의미
70,000개 이상의 자격 증명이 노출되었다는 것은:
- 수천 개 조직의 네트워크 접근 권한이 탈취됨
- 탈취된 자격 증명이 랜섬웨어 그룹에 판매되거나 직접 악용됨
- 장기간 은밀한 접근으로 인한 데이터 유출 위험
- 공급망 공격의 발판으로 활용 가능
랜섬웨어 연결
k0t 캠페인과 랜섬웨어 그룹 간의 가능한 연결:
- 탈취된 네트워크 접근 권한이 랜섬웨어 그룹에 판매되는 IAB (Initial Access Broker) 모델
- 직접 랜섬웨어 배포에 사용되는 가능성
- 랜섬웨어 그룹의 인프라 접근 확보 수단
MITRE ATT&CK 매핑
| 전술 | 기술 | ID |
|---|---|---|
| Initial Access | Exploit Public-Facing Application | T1190 |
| Initial Access | Valid Accounts | T1078 |
| Persistence | Account Manipulation | T1098 |
| Defense Evasion | Impair Defenses | T1562 |
| Credential Access | Brute Force | T1110 |
| Collection | Data from Network Shared Drive | T1039 |
| Exfiltration | Exfiltration Over C2 Channel | T1041 |
탐지 및 대응
탐지 지표
- FortiGate/FortiWeb/GlobalProtect 장비의 비정상 로그인 시도
- 기본/약한 자격 증명 사용 탐지
- 장비 설정 변경 이력
- 비정상적인 아웃바운드 연결
- 새로운 관리자 계정 생성
대응 방안
- 패치 관리: Fortinet/Palo Alto 장비의 최신 보안 패치 적용
- 자격 증명 강화: 기본 비밀번호 변경, 강력한 비밀번호 정책
- MFA 적용: 관리 인터페이스에 MFA 강제
- 모니터링: 장비 로그의 중앙 수집 및 분석
- 네트워크 세그멘테이션: 관리 인터페이스를 별도 네트워크에 격리
- 설정 백업: 장비 설정의 정기 백업 및 무결성 검증
결론
k0t 위협 행위자의 네트워크 엣지 장비 대상 캠페인은 인프라 보안의 중요성을 보여줍니다. 70,000개 이상의 자격 증명 노출은 대규모 공급망 공격의 발판이 될 수 있으며, 랜섬웨어 그룹과의 연결 가능성은 심각한 2차 피해를 초래할 수 있습니다. 네트워크 장비의 패치 관리, 자격 증명 강화, 모니터링 체계 구축이 필수적입니다.
참고: Check Point Research - 26th October Threat Intelligence Report, Group-IB - Stray Cat Network Edge