[논문 리뷰] Characterising attacks targeting low-cost routers: a MikroTik case study (Extended)

João Marcelo Ceron, Christian Scholten외 3명|arXiv (Cornell University)|2020. 11. 03.

Network Security and Intrusion Detection참고 문헌 9인용 수 6

한 줄 요약

이 연구는 6개국에 걸쳐 배치된 글로벌 분산형 고도로 상호작용적인 하이퍼포트를 활용해 저가형 미크로티크 라우터를 대상으로 하는 사이버 공격을 조사한다. 120일 동안 4,400만 개의 패킷을 수집하고, 3,000개 이상의 성공한 IP 터널, 20만 개 이상의 고유한 IP 주소에서의 브루트포스 공격, 그리고 패치되지 않은 취약점의 광범위한 악용을 확인하였다. 이는 원격 해킹 및 데이터 가로채기를 방지하기 위해 RouterOS 업데이트를 빠르게 수행할 필요성이 매우 크다는 것을 시사한다.

ABSTRACT

Attacks targeting network infrastructure devices pose a threat to the security of the internet. An attack targeting such devices can affect an entire autonomous system. In recent years, malware such as VPNFilter, Navidade, and SonarDNS has been used to compromise low-cost routers and commit all sorts of cybercrimes from DDoS attacks to ransomware deployments. Routers of the type concerned are used both to provide last-mile access for home users and to manage interdomain routing (BGP). MikroTik is a particular brand of low-cost router. In our previous research, we found more than 4 million MikroTik routers available on the internet. We have shown that these devices are also popular in Internet Exchange infrastructures. Despite their popularity, these devices are known to have numerous vulnerabilities. In this paper, we extend our previous analysis by presenting a long-term investigation of MikroTik-targeted attacks. By using a highly interactive honeypot that we developed, we collected more than 44 million packets over 120 days, from sensors deployed in Australia, Brazil, China, India, the Netherlands, and the United States. The incoming traffic was classified on the basis of Common Vulnerabilities and Exposures to detect attacks targeting MikroTik devices. That enabled us to identify a wide range of activities on the system, such as cryptocurrency mining, DNS server redirection, and more than 3,000 successfully established tunnels used for eavesdropping. Although this research focuses on Mikrotik devices, both the methodology and the publicly available scripts can be easily applied to any other type of network device.

연구 동기 및 목표

• 인터넷에 노출된 미크로티크 라우터의 글로벌 환경을 규명하고, 그 보안 노출 수준을 평가하기 위해.
• 실제 공격을 유인하고 분석하기 위해 현실적인 클라우드 기반 하이퍼포트를 설계하고 구현하기 위해.
• 미크로티크 기기들을 대상으로 하는 공격 유형을 식별하고 분류하기 위한 자동화된 서명 기반 분류 체계를 개발하기 위해.
• 자격 증명 탈취, 터널링, DNS 리디렉션, 악성코드 배포 등의 공격 유형의 빈도와 성격을 정량화하기 위해.
• 탐지 및 공격 방지 능력을 향상시키기 위해 실질적인 통찰력과 공개 가능한 도구(서명, 하이퍼포트 이미지)를 제공하기 위해.

제안 방법

• 글로벌 기기 조사 데이터를 기반으로 실제적인 개방된 포트와 서비스를 갖춘, 미크로티크 RouterOS를 모방한 가상화된 고도로 상호작용적인 하이퍼포트를 구축하였다.
• 세계 각지의 다양한 위치(호주, 브라질, 중국, 인도, 네덜란드, 미국)에 6개의 하이퍼포트 센서를 설치하여 글로벌 공격 패tern을 캡처하였다.
• 120일 동안 4,400만 개의 네트워크 패킷과 380만 건의 로그 항목을 수집·분석하였으며, 수동으로 정의된 공격 서명 기반의 고유한 분류 엔진을 사용하였다.
• CVE 관련 서명 데이터베이스 두 개와 버클리 패킷 필터(Berkeley Packet Filter, BPF) 호환 규칙을 활용하여 악용 시도, 브루트포스 시도, 터널링 활동 등을 탐지하였다.
• 네트워크 트래픽과 시스템 로그를 연계하여 공격 성공 여부를 검증하였으며, 이는 터널 생성, 설정 변경, 자격 증명 유출 등을 포함한다.
• Shodan.io 데이터(4TB 이상)를 활용하여 미크로티크 기기의 글로벌 분포와 일반적으로 개방된 포트를 매핑하여, 하이퍼포트 구성 및 배포 전략 수립에 활용하였다.

실험 결과

연구 질문

• RQ1 인터넷에 공개적으로 접근 가능한 미크로티크 라우터는 얼마나 되며, 그들의 지리적 분포 및 포트 분포 특성은 어떠한가?
• RQ2 미크로티크 라우터를 대상으로 하는 공격 중 가장 흔한 유형은 무엇이며, 시간이 지남에 따라 어떻게 변화하는가?
• RQ3 기존에 알려진 취약점(CVE)들이 실제 공격에서 얼마나 악용되고 있으며, 라우터OS 업데이트를 통해 이를 완화할 수 있는가?
• RQ4 해당 라우터 기기에서 공격자가 얼마나 자주 지속 가능한 터널을 설정하는가, 그리고 어떤 프로토콜이 가장 흔히 사용되는가?
• RQ5 실제로 배포 가능한 현실적인 하이퍼포트는 저가형 네트워크 인프라 기기들을 대상으로 하는 실제 공격을 효과적으로 캡처하고 분류할 수 있는가?

주요 결과

• 인터넷에 공개적으로 접근 가능한 미크로티크 라우터가 400만台 이상으로 확인되었으며, 기본적으로 비활성화되어 있는 173/TCP(프로토콜 PPTP) 포트가 여전히 두 번째로 자주 개방된 포트로 나타났다.
• 하이퍼포트에서 3,000개 이상의 성공한 IP 터널이 설정되었으며, 주로 PPTP 프로토콜을 사용하여 도청 및 트래픽 조작을 위한 터널링이 널리 사용되고 있음을 시사한다.
• 20만 개 이상의 고유한 IP 주소에서 하이퍼포트를 대상으로 한 브루트포스 공격이 이루어졌으며, 대부분은 기본 또는 약한 자격 증명을 타깃으로 하였다.
• 최소 3,441건의 공격 시도가 미크로티크 기기의 알려진 취약점을 악용하려는 것이었으며, 대부분은 원격 접근을 위한 관리자 자격 증명을 유출하려는 목적이었다.
• 많은 공격가들이 VPNFilter, Navidade, SonarDNS와 같은 알려진 악성코드 캠페인과 관련되어 있었으며, DNS 리디렉션 및 패킷 스니핑 활동의 증거가 확인되었다.
• 분 析한 22개의 CVE에 모두 패치가 제공되었음에도 불구하고, 라우터OS 업데이트를 하지 못한 탓에 200만 대 이상의 미크로티크 기기가 여전히 취약한 상태에 있으며, 이는 심각한 보안 격차를 드러낸다.