최근 발견된 PHP 취약점을 악용한 사이버 공격으로 미국 정부 관련 시스템을 포함한 서버 25대가 장악된 정황이 포착됐다. 한국과 미국, 일본, 대만의 방화벽 240대가 공격 대상에 포함됐으며, 일부 시스템에서는 내부 관리 서버까지 침투한 것으로 분석됐다.
29일 이스라엘 사이버보안 기업 드림의 보안 연구조직 드림 리서치에 따르면 공격자는 지난 23~24일 전 세계 방화벽 약 1만9000대를 탐색한 뒤 한국 등 4개국에 있는 장비 240대를 공격 대상으로 선정했다.
공격자는 PHP 원격 코드 실행 취약점 'PHP2Shell'과 리눅스 권한 상승 취약점을 연쇄적으로 악용해 방화벽 24대의 최고 관리자(root) 권한을 확보한 것으로 분석됐다.
특히 미국 정부 관련 기관에서는 방화벽 2대가 침해된 데 이어 내부 관리 서버 1대까지 장악된 정황이 발견됐다. 공격자는 해당 서버를 통해 다른 방화벽의 설정과 인증정보 등에 접근할 수 있었던 것으로 파악됐다.
침해된 방화벽 24대 중 22대에서는 공격자가 웹셸을 설치한 채 추가 공격 없이 남겨둔 정황도 확인됐다. 웹셸은 공격자가 시스템에 원격 접속해 명령을 실행할 수 있도록 하는 악성 프로그램으로, 후속 침해에 악용될 가능성이 있다.
중국 연계 및 인공지능(AI) 활용 정황도 발견됐다. 공격 과정에서 중국의 인터넷 자산 검색 엔진 'FOFA'와 중국산 네트워크 도구가 사용됐으며, 공격 인프라에서는 앤트로픽의 AI 코딩 도구 '클로드 코드'와 중국 AI 모델 딥시크·키미를 활용하기 위한 설정 등이 확인됐다.
다만 드림 리서치는 중국 해커 조직의 소행이라고 단정하기 어렵고, AI가 실제 공격 코드를 작성하거나 공격 전 과정을 자율적으로 수행했다는 증거도 확인되지 않았다고 설명했다.
한국 소재 방화벽의 실제 침해 여부와 민감정보 유출 규모 역시 파악되지 않았다.
정부 관계자는 “현재까지 PHP 취약점으로 인한 피해 사례가 아직 보고되지 않았다”며 “기업·기관에 취약점 개선 업데이트를 비롯한 보안 조치를 적극 안내하면서 모니터링하고 있다”고 말했다.
박진형 기자 jin@etnews.com
