한 사이버 공격자가 포티넷 VPN 로그인에 사용할 수 있는 ID와 비밀번호 목록을 유출했다. 그는 유출에 사용한 취약점은 현재 패치가 완료됐지만, VPN 계정은 여전히 유효하다고 주장했다. 해당 VPN 계정을 통해 다른 사이버 공격자가 네트워크에 접근하고, 데이터를 유출할 수 있으며, 랜섬웨어 등 악성코드에 감염시킬 수 있는 심각한 사안이다.

[보안뉴스 이상우 기자] 이번 유출은 RAMP 해킹 포럼 관리자에 의해 이뤄졌으며, 그는 바북(Babuk) 랜섬웨어 운영자 중 ‘Orange’와 동일인물로 알려져 있다. 동시에 해킹 포럼인 Groove에도 이와 관련된 정보가 등록됐다. 보안전문가에 따르면 이번 유출은 RAMP 포럼과 Groove 랜섬웨어 서비스 운영을 홍보하기 위해 수행한 것으로 보인다.


[이미지=utoimage]

해외 IT/보안 전문매체 블리핑컴퓨터가 해당 유출 정보를 분석한 결과, 목록에는 1만 2,856개 VPN 장치에서 49만 8,908명의 사용자에 대한 VPN 계정이 포함돼 있다. 계정이 현재까지 유효한지 테스트하지 않았지만, 확인한 모든 IP 주소는 포티넷 VPN 서버임을 확인했다. 계정 유출에 악용된 취약점은 CVE-2018-13379다.

보안전문가는 해당 계정이 모두 유효할 것이라고 가정하고 예방조치를 취해야 한다고 강조했다. 현재 사용 중인 모든 사용자 암호를 강제로 재설정하고 로그에서 침입 가능성을 확인해야 한다는 것. 또한, 의심스러운 부분이 있으면 즉시 소프트웨어나 운영체제 혹은 백신이 최신 버전으로 유지되고 있는지 확인하고, 더 철저한 조사를 수행해야 한다고 언급했다.
[이상우 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>