[화담일보 = 임유찬기자] 한국어를 사용하는 공격자가 ‘PHP투셸(PHP2Shell)’ 취약점을 악용하기 위해 정부·금융기관 등을 정찰하고 공격 코드를 검증한 정황이 포착됐다. 뉴시스가 24일 전한 사이버 보안·위협 인텔리전스 기업 사이퍼마(CYFIRMA)의 경고에 따르면, 실제 침해 사례는 확인되지 않았으며 북한 라자루스 그룹과의 연관성도 의심 단계다.
사이퍼마는 22일(현지 시간) 비공개 소스에서 수집한 정보를 통해 공격 준비 활동을 파악했다고 밝혔다. 공격자는 익명 네트워크인 I2P 채널에서 취약점이 있는 웹 접근 가능 자산을 대상으로 세계적인 정찰과 공격 계획을 세운 것으로 분석됐다. 취약한 대상을 찾는 작업과 함께 공개된 공격 코드를 활용할 수 있는지 검증하는 활동도 관찰됐다.
사이퍼마는 해당 운영자가 라자루스 그룹과 연관됐을 가능성에 대해 ‘중간 수준’의 신뢰도를 부여했다. 한국어 사용 정황과 공격 준비 활동이 관찰됐지만, 이를 북한의 소행으로 확정한 것은 아니다. 구체적인 공격 개시일과 실제 표적 명단도 확인되지 않았다.
표적 범위에는 한국을 비롯해 미국, 일본, 태국, 인도네시아, 호주, 대만, 인도, 싱가포르, 아랍에미리트, 사우디아라비아와 유럽연합 지역이 포함됐다. 대상 업종은 정부와 은행·금융뿐 아니라 제조업, 물류·해운, 공항·항공, 온라인 거래 플랫폼, 무역과 건설 등으로 폭넓게 제시됐다. 사이퍼마는 자사가 관찰한 사례 가운데 정부·금융기관을 우선 표적으로 삼아 PHP투셸을 의도적으로 공격하려는 첫 시도라고 설명했다.
회사가 평가한 이번 공격 시도의 심각도는 ‘매우 높음’이다. 취약점을 악용하면 공격자가 로그인하지 않은 상태에서도 웹 서버에 조작된 요청을 보내 악성코드를 실행할 수 있다는 이유다. 특히 아파치 웹 서버에서 PHP 프로그램을 직접 실행하는 환경은 공격에 노출될 위험이 크다고 경고했다.
사이퍼마는 23일에는 서버 원격 제어 도구 사용이나 파일 업로드 과정의 정보 악용이 의심되는 활동에서 추가 공격 출발지 IP 주소 17개를 확인했다. 다만 이 주소들이 발견됐다는 사실만으로 북한 연계가 의심되는 채널과 직접 연결할 수는 없다고 선을 그었다. 추가로 포착된 의심 활동과 특정 조직에 대한 귀속 판단은 구분한 것이다.
대응 방안으로는 보안 패치를 적용한 뒤 시스템을 재시작하고, 지난 17일부터의 위협 요소를 탐지할 것을 권고했다. 회사는 PHP를 사용하는 웹사이트 비중이 약 69.3%에 이른다는 점을 들어 취약한 이용 환경의 규모를 우려했다. 이 수치는 PHP 사용 비중으로, 실제 침해가 발생한 웹사이트 비율을 뜻하지는 않는다.
사이퍼마는 라자루스 관련 조직이 금전적 이익과 정보 수집을 함께 노린다고 설명했다. 서버 침입에 성공할 경우 다른 공격자에게 접근 권한을 넘기거나 가상자산 탈취, 랜섬웨어 공격 준비, 계정 정보 절취로 이어질 수 있다는 분석이다. 장기간 시스템에 잠복해 기밀 정보를 수집할 가능성도 제시했으나, 이는 침입 이후 예상되는 위험에 대한 설명이며 이번 활동에서 확인된 피해는 아니다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}