중국 공산당 해커들이 수년간 F5의 미국 정부 네트워크에 숨어 있음

중국 국가 지원 사이버 부대와 연결된 해커들이 2023년 말 F5의 내부 네트워크에 침투했으며, Bloomberg에 따르면 올해 8월까지 숨어 있었다고 합니다.

시애틀 기반 사이버 보안 회사는 제출된 서류에서 시스템이 거의 2년 동안 침해되어 공격자가 내부 인프라에 "장기적이고 지속적인 접근"을 허용했다고 인정했습니다.

이 침해는 소스 코드, 민감한 구성 데이터 및 BIG-IP 플랫폼의 미공개 소프트웨어 취약성에 대한 정보를 노출한 것으로 보고되었습니다. BIG-IP은 Fortune 500 기업 85%와 많은 미국 연방 기관의 네트워크를 구동하는 기술입니다.

해커들은 직원들이 내부 보안 정책을 따르지 않아 온라인에 노출된 F5의 자체 소프트웨어를 통해 침입했습니다. 공격자는 그 약점을 악용하여 잠겨야 하는 시스템 내부로 자유롭게 이동했습니다.

F5 회사는 고객에게 이 과실이 회사가 고객에게 따르도록 가르치는 동일한 사이버 가이드라인을 직접 위반했다고 알렸습니다. 뉴스가 보도되자 10월 16일 F5 주가는 10% 이상 하락하여 수백만 달러의 시가총액을 날렸습니다.

"그 취약성 정보가 세상에 나와 있으므로, F5를 사용하는 모든 사람은 자신이 침해당했다고 가정해야 합니다,"라고 말했습니다 Chris Woods는 전 HP 보안 임원이자 영국 사이버 보안 서비스 회사인 CyberQ Group Ltd.의 설립자입니다.

해커들은 F5의 자체 기술을 사용하여 은밀함과 통제를 유지함

Bloomberg에 따르면 F5는 수요일 중국 국가 지원 해커들이 사용하는 Brickstorm이라는 유형의 멀웨어에 대한 위협 사냥 가이드를 고객들에게 보냈습니다.

F5가 고용한 Mandiant는 Brickstorm이 해커들이 VMware 가상 머신과 더 깊은 인프라를 통해 조용히 이동할 수 있게 했다고 확인했습니다. 발판을 확보한 후 침입자들은 1년 이상 비활성 상태로 남아 있어 회사의 보안 로그 보존 기간을 기다리는 오래되었지만 효과적인 전술을 사용했습니다.

모든 디지털 흔적을 기록하는 로그는 비용을 절감하기 위해 종종 12개월 후에 삭제됩니다. 로그가 사라진 후 해커들은 다시 활성화되어 BIG-IP에서 소스 코드 및 취약성 보고서를 포함한 데이터를 추출했습니다.

F5는 일부 고객 데이터가 접근되었지만 해커들이 소스 코드를 변경했거나 도난당한 정보를 사용하여 고객을 공격했다는 확실한 증거는 없다고 말했습니다.

F5의 BIG-IP 플랫폼은 부하 분산 및 네트워크 보안을 처리하며, 디지털 트래픽을 라우팅하고 시스템을 침입으로부터 보호합니다.

미국과 영국 정부가 긴급 경고 발령

미국 사이버 보안 및 인프라 보안국(CISA)은 이 사건을 "연방 네트워크를 표적으로 한 중대한 사이버 위협"으로 규정했습니다. 수요일 발행된 긴급 지시에서 CISA는 모든 연방 기관이 10월 22일까지 F5 제품을 식별하고 업데이트하도록 명령했습니다.

영국의 국가 사이버 보안 센터(NCSC)도 수요일 이 침해에 대한 경고를 발행했으며, 해커들이 F5 시스템에 대한 접근을 사용하여 회사의 기술을 악용하고 추가 취약점을 식별할 수 있다고 경고했습니다.

공개 이후 F5 CEO 프랑수아 로코-도누는 고객들과 회의를 열어 침해의 범위를 설명했습니다. 프랑수아는 회사가 크라우드스트라이크와 구글의 Mandiant를 법 집행 기관 및 정부 조사관들과 함께 지원하기 위해 투입했다고 확인했습니다.

수사에 익숙한 관리들은 중국 정부가 공격을 주도했다고 Bloomberg에게 allegedly 말했습니다. 그러나 중국 대변인은 이 비난을 "근거가 없고 증거 없이 이루어진 것"이라고 일축했습니다.

Sygnia의 사이버 보안 컨설팅 부사장인 Ilia Rabinovich는 Sygnia가 지난해 공개한 사례에서 해커들이 F5 장비 내부에 숨어 '명령 및 제어' 기지로 사용하여 피해자 네트워크에 탐지되지 않고 침투했다고 말했습니다. "수많은 조직이 해당 장치를 배포하기 때문에 그것이 거대한 것으로 발전할 가능성이 있습니다,"라고 그는 말했습니다.