[긴급 공지] ATP800, USG FLEX & VPN 장애 원인 분석 및 펌웨어 업데이트 안내

1. 장애 대상 및 원인

분석 결과, 영향을 받은 장비는 구축형으로 운영되고 구버전 펌웨어(ZLD V5.40 미만)를 사용하는 ATP800, USG FLEX & VPN 시리즈 장비로 확인되었습니다.

• 보안 취약점이 존재했던 구버전 펌웨어(ZLD V5.40 미만)를 사용하는 UTM 장비를 대상으로 악성코드가 설치된 것으로 확인
• 구버전 펌웨어(ZLD V5.40 미만)를 최신 펌웨어로 업데이트하지 않은 고객
• 불특정 IP를 통해 설치된 악성코드 활성화 (ACL을 설정하여 지정된 공인 IP에서만 장비 접속을 허용한 고객은 감염되지 않음)
• 웹 통신 시스템 무력화

2. 설치된 악성코드 정보

특정 버전 펌웨어의 보안 취약점을 악용한 비인가 접근으로 설치된 악성코드가 UTM 장비의 NAT 정책을 변조하여 인터넷 서비스 장애를 발생시킵니다.

이번 공격에 사용된 악성코드는 기존에 알려진 악성코드로, UTM 장비의 NAT 기능에만 영향을 미쳐 무력화 시킵니다.

악성코드 비인가 파일

/etc/zyxel/ftp/.dha/.dha_gecon
/etc/zyxel/ftp/.dha/.dha_gecov
/etc/zyxel/ftp/.dha/app_patr
/etc/zyxel/ftp/.dha/dha_disable_ports
/etc/zyxel/ftp/.dha/dha_geoip

NAT 정책을 변조하여 무력화 (트래픽 조작)

- 출발지 IP : 다음 사설 IP 대역
    10.0.0.0/8
    172.16.0.0/12
    192.168.0.0/16

- 목적지 포트
    HTTP (TCP 80)
    HTTPS (TCP 443)
    장비 GUI 서비스 포트

위 조건에 맞는 모든 트래픽은 TCP58616으로 리다이렉트하여 무력화

3. 장애 증상 (Impact)

악성 코드가 실행되면 정상 시스템 프로세스로 위장하여 내부 네트워크 동작을 변조하며, 그 결과 감염된 장비에서 다음과 같은 증상을 발생시킵니다.

• 장비 Web 관리 화면(GUI) 접속 불가
• HTTP / HTTPS 통신 이상
• 내부 사용자의 인터넷 접속 장애

4. 조치 내역

A. 영향을 받은 장비의 정상화 및 악성파일·프로세스 제거를 위해 긴급 신규 펌웨어를 개발 및 배포

B. 자이젤코리아의 공식 블로그에 실시간 개발 펌웨어를 배포하여 고객 및 운영 파트너사에 펌웨어 업데이트 공지

C. 자이젤코리아의 공식 홈페이지에 장애 관련 내용 긴급 공지

5. 신규 펌웨어 주요기능

금번 배포된 패치 펌웨어는 NAT 관련 악성코드 제거와 함께 기존에 알려진 모든 보안 취약점(CVE)에 대한 보안 패치를 포함하고 있습니다.

• NAT 정책을 변조하는 악성코드 및 관련 파일 제거
• 기존에 알려진 모든 보안 취약점(CVE) 패치 적용

6. 대상 모델 및 신규 펌웨어

대상 모델 : ATP800, USG FLEX & VPN 시리즈

7. 재발방지책

안정적인 네트워크 운영 및 보안 강화를 위해 아래 권고 사항을 적용해 주시기 바랍니다

• 최신 펌웨어(ZLD V5.43) 업데이트 (UTM 기준)
• 불특정 IP의 접근을 차단하기 위해 ACL 설정 → 지정된 공인 IP에서만 접근 허용
• admin 계정 변경 → admin 권한의 비밀번호 변경

※ 참고 : 클라우드 매니지드 플랫폼(Nebula)에 등록된 장비는 이번 공격 대상에 포함되지 않았습니다.

• 펌웨어 스케줄링 기능을 통한 최신 펌웨어 자동 업데이트(ZLD V5.43) — Nebula 기본 기능 (매주 월요일 02:00 AM 자동 업데이트)
• ACL 기본 적용 값이 모든 외부 IP 차단으로 설정
• 강화된 비밀번호 복잡도 정책 적용

안정적인 네트워크 운영을 위해 가급적 빠른 시일 내에 상기 복구 절차를 진행해 주 시기를 권장드립니다.

이번 장애로 인해 불편을 드린 점 진심으로 사과드리며 자이젤코리아는 본사와 긴밀히 협력하여 지원과 안정적인 서비스 제공을 위해 최선을 다하겠습니다.

※ 첨부 1 : ATP800, USG FLEX & VPN 장애에 대한 한국지사 공식 공문 다운로드

※ 첨부 2 : ATP800, USG FLEX & VPN 장애에 대한 본사 공식 공문 (ZYXEL Forensic_Report) 다운로드