北 연계 해킹조직, 'PHP 보안 결함' 공격 징후…韓 정부·금융망 겨냥 작성일 10-24 60 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Po4yPh8Bj2"> <p contents-hash="10bc7c1f5fe73ff9ebbc307fbe83efa35396c4db8a3395e0615ae01c1aff27a5" dmcf-pid="Qg8WQl6bA9" dmcf-ptype="general"><br><strong>사이퍼마 "한국어 공격자 정황 포착"…'라자루스' 연계 의심</strong></p> <figure class="figure_frm origin_fig" contents-hash="301bae9803802a281b764776aee51df72d8689d8e602df5c747f9bb16cfcbb17" dmcf-pid="xa6YxSPKoK" dmcf-ptype="figure"> <p class="link_figure"><img alt="사이퍼마가 공개한 I2P 포럼 대화 화면. /뉴시스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/24/THEFACT/20261024102519709wiew.jpg" data-org-width="640" dmcf-mid="6oKhVm9UgV" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/24/THEFACT/20261024102519709wiew.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 사이퍼마가 공개한 I2P 포럼 대화 화면. /뉴시스 </figcaption> </figure> <div contents-hash="563d5627314098d87b08f6cd11afb3f6d995d909a27f04f0a04f63c1b9c47150" dmcf-pid="y3SRy6vmAb" dmcf-ptype="general"> <br>[더팩트ㅣ유연석 기자] 북한 연계 해킹 조직으로 추정되는 사이버 공격 세력이 웹 프로그래밍 언어인 'PHP'의 보안 결함을 악용해 한국 등 전 세계 주요 기관을 겨냥한 대규모 공격을 준비 중인 정황이 드러났다. 로그인 없이도 원격으로 서버를 장악할 수 있는 고위험 취약점인 만큼 시스템 관리자들의 긴급 보안 패치 적용이 요구된다. </div> <p contents-hash="ee43e918792836f4a475ccb2542831fe9a86691bafd3da08f4645abe77493f06" dmcf-pid="W0veWPTsaB" dmcf-ptype="general">24일 글로벌 사이버 보안·위협 인텔리전스 기업 사이퍼마(CYFIRMA)가 발표한 긴급 위협 경고에 따르면, 공격자가 'PHP투셸(PHP2Shell)' 보안 취약점을 보유한 표적을 물색하고 공개된 공격 코드를 검증하는 움직임이 포착됐다.</p> <p contents-hash="89e67198cb9a77c7606b083cb1370100c2a3c6cb308f21ebd9dbee2c4ddd0e77" dmcf-pid="YpTdYQyOaq" dmcf-ptype="general">사이퍼마는 지난 22일(현지시각) 비공개 소스 데이터 분석을 통해 한국어를 쓰는 공격자가 다크웹 기반의 익명 네트워크(I2P) 비공개 채널에서 PHP투셸 취약점을 지닌 글로벌 웹 서버들을 상대로 사전 정찰 및 침투 계획을 수립한 정황을 확인했다. 보안 당국은 이 활동을 채널명을 따 '2026년 6월 민준 캠페인'으로 분류해 추적하고 있다.</p> <p contents-hash="69b5873e93ed1e64414afd33def0284c426cdcf2bd49655ca5ee0d5dc4e00a24" dmcf-pid="GUyJGxWIaz" dmcf-ptype="general">사이퍼마는 해당 공격을 주도하는 세력이 북한의 대표적 해킹 조직인 '라자루스(Lazarus)' 그룹과 맞닿아 있을 가능성을 제기했다. 신뢰도 평가는 '중간 수준'이다.</p> <p contents-hash="bb768fc2ae3e7fffbbcf67f599a7ce670cda06194b396ff3f9ab0e7c994ae3fd" dmcf-pid="HuWiHMYCg7" dmcf-ptype="general">공격 표적에는 한국을 포함해 미국, 일본, 유럽연합(EU), 대만, 싱가포르, 아랍에미리트(UAE) 등 주요국의 정부 부처, 은행 및 금융기관, 항공, 제조업, 물류·해운사 등이 광범위하게 포함됐다. 사이퍼마가 파악한 이번 공격 시도의 심각도는 '매우 높음' 단계다. 해커가 인증 절차를 거치지 않고도 정교하게 조작된 요청을 전송해 원격 웹 서버에 악성코드를 강제 실행할 수 있기 때문이다. 공격자는 공격 서버를 통제하는 백도어 도구 활용을 시도했으며, 의심 출발지 IP 17개도 추가로 식별됐다.</p> <p contents-hash="146f3405d270d6bbbfe8b98b3ba119134d87e5a1b6ac3eb45863a241bad3d6fe" dmcf-pid="X7YnXRGhNu" dmcf-ptype="general">피해 확산 우려가 큰 이유는 전 세계 웹사이트의 약 69.3%가 PHP 언어를 기반으로 구동되고 있어서다. 구체적으로 PHP 버전 8.5.12, 8.4.27, 8.3.36, 8.2.35 미만 환경을 운용하는 모든 시스템이 취약점에 노출된 상태다. 특히 아파치(Apache) 웹 서버 환경에서 PHP 모듈을 직접 실행하는 기관은 더욱 표적이 되기 쉽다.</p> <p contents-hash="d5985da929aba0dc37c7eeeb25bf38bf61bb8c220323e5f6eba11239f6ea2b8f" dmcf-pid="ZzGLZeHlkU" dmcf-ptype="general">사이퍼마는 "라자루스 관련 해킹 조직은 금전적 이익과 정보 수집을 동시에 노리는 만큼, 서버 침입에 성공하면 다른 해커에게 접근 권한을 넘기거나 가상자산을 탈취하고, 랜섬웨어 공격을 준비하거나 계정 정보를 훔칠 수 있다"며 "장기간 시스템에 잠복하며 기밀 정보를 수집할 가능성도 있다"고 설명했다. 이어 보안 패치 적용 후 재시작과 함께 지난 17일부터의 위협 요소를 탐지할 필요가 있다고 조언했다.</p> <p contents-hash="f790caac508af3a2c6427640b67240e7f74e4e84a802371d3003456d11856407" dmcf-pid="5qHo5dXSap" dmcf-ptype="general">ccbb@tf.co.kr</p> <p contents-hash="36396c04a08861f43f18ac2f0c56c67e9e9bdd3b517a5c424eb56234cdcd750d" dmcf-pid="1BXg1JZvc0" dmcf-ptype="general"><strong>발로 뛰는 더팩트는 24시간 여러분의 제보를 기다립니다.</strong><br>▶카카오톡: '더팩트제보' 검색<br>▶이메일: jebo@tf.co.kr<br>▶뉴스 홈페이지: http://talk.tf.co.kr/bbs/report/write</p> </section> </div> <p class="" data-translation="true">Copyright © 더팩트. 무단전재 및 재배포 금지.</p> 관련자료 이전 보고 판단하는 데 0.23초…까마귀, 인간보다 빨랐다 10-24 다음 "20번도 안 열었는데 쩍"…아이폰 듀오, 힌지 따라 화면 균열 10-24 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
