전세계 웹사이트에서 널리 사용되는 프로그래밍 언어 ‘PHP’의 취약점을 노린 사이버 공격으로 미국 정부 관련 시스템을 포함한 서버 25대의 최고 관리자 권한이 탈취된 정황이 포착됐다. 미국과 일본, 대만은 물론 우리나라의 서버까지 표적이 됐으며, 일부 시스템에서는 방화벽을 통해 내부 관리 서버까지 침투한 것으로 나타났다.
29일 보안업계에 따르면 이스라엘 사이버보안 기업 ‘드림(Dream)’의 보안 연구조직 드림 리서치는 지난 23~24일 한국과 미국, 일본, 대만에 있는 방화벽을 겨냥한 대규모 사이버 공격이 벌어진 정황을 발견했다.
공격자는 전 세계 방화벽 약 1만9000대를 탐색한 뒤 한국과 미국, 일본, 대만에 있는 장비 240대를 최종 공격 대상으로 선정했다. 이후 방화벽 관리 서버에 탑재된 PHP 기능의 원격 코드 실행 취약점인 ‘PHP2Shell’을 악용해 침투하고, 리눅스 운영체제의 권한 상승 취약점까지 연쇄적으로 활용해 방화벽 24대의 최고 관리자 권한을 확보한 것으로 파악됐다.
미국 정부 관련 기관에서는 방화벽 2대가 침해된 데 이어 내부 관리 서버 1대까지 추가로 공격당하면서 전체 침해 규모가 25대로 늘어난 것으로 분석됐다. 공격자는 해당 기관의 방화벽을 통해 내부망에 침투한 뒤 중앙 관리 서버까지 장악해 관리 대상인 다른 방화벽의 설정과 인증정보 등에 접근할 수 있었던 것으로 파악됐다.
다만 실제 민감정보 유출 규모나 추가 시스템 침해 여부는 확인되지 않았다. 한국 소재 방화벽이 장악된 24대에 포함됐는지 등 국내 피해 여부도 아직 파악되지 않았다.
드림 리서치는 “이번 공격은 외부에 노출된 관리 인터페이스가 조직의 계정·인증 관리 인프라로 침투하는 경로가 될 수 있음을 보여준다”고 지적했다.
그러면서 “공격자가 최고 관리자 권한을 확보한 방화벽 24대 중 미국 정부 관련 기관의 방화벽 2대를 제외한 22대에 웹셸(해커 전용 통로)을 설치한 채 추가 공격 없이 남겨뒀다”며 이들 웹셸이 여전히 활성화돼 있을 가능성을 제기했다.
드림 리서치는 공격 과정에서 중국 해커 조직과 연계된 것으로 의심되는 정황도 다수 발견했다.
공격 대상이 한국과 미국, 일본, 대만 등 4개국에 집중됐고, 중국의 인터넷 자산 검색 엔진 ‘FOFA’와 중국에서 개발된 네트워크 연결 도구가 사용됐다는 것이다. 공격 인프라의 시간대가 중국 표준시와 일치하고, AI 기반 보안 플랫폼의 실행 기록에서 중국어 프롬프트가 발견된 점도 확인됐다.
공격 인프라에서는 앤트로픽의 AI 코딩 도구 ‘클로드 코드’가 설치된 것으로 나타났다. AI 기반 공격 보안 플랫폼 ‘aiscan’에는 중국 AI 모델 딥시크와 키미를 사용하기 위한 설정이 포함돼 있었다.
드림 리서치는 확보한 공격용 스크립트 약 40개의 코드 구조와 주석 작성 방식 등이 일관된 점을 들어 AI를 활용한 개발 가능성도 제기했다. 다만 AI가 실제 공격 코드를 직접 작성했다는 증거는 없으며, 공격 전 과정이 AI에 의해 자율적으로 수행된 것으로 보이지는 않는다고 설명했다.
이화연 기자 hylee@segye.com
