北, 韓 정부·금융 겨냥 PHP 공격 준비 마무리...제조·물류·항공도 타깃 작성일 10-25 52 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">사이퍼마 "한국어 쓰는 운영자 2명, 25일까지 1차 공격 대상 목록 작성 논의"<br>한국은 정부·금융 1순위 지역...8.1 이하 PHP는 공식 보안 업데이트도 없어</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="3JW1KyJ6Tj"> <figure class="figure_frm origin_fig" contents-hash="8fc5ee01262a1e30417a07884d4e9841561f81b4ab0ab9f64295c61818b590d3" dmcf-pid="0iYt9WiPhN" dmcf-ptype="figure"> <p class="link_figure"><img alt="[사진=연합뉴스]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/25/552779-26fvic8/20261025175906907azmd.jpg" data-org-width="640" dmcf-mid="FXMLmxXSTA" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/25/552779-26fvic8/20261025175906907azmd.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [사진=연합뉴스] </figcaption> </figure> <p contents-hash="bca102a87bc17bd300af278e014389b199aca94332472cf4d535a4cd468480c2" dmcf-pid="pnGF2YnQSa" dmcf-ptype="general">북한 연계로 추정되는 한국어 사용 해커들이 프로그래밍 언어 PHP의 심각한 보안 결함 공격에 나선 것으로 확인됐다. 국가·업종별 1차 공격 대상 목록을 만들었는데 한국이 1순위 지역에 올라 있는 것으로 알려졌다.</p> <p contents-hash="0b66fd36ab3ac7b7629eac8ed8308a009d642eb8d64267ebfbd23bafda11aced" dmcf-pid="ULH3VGLxvg" dmcf-ptype="general">25일 싱가포르 사이버 위협 분석 기업 사이퍼마에 따르면 한국어를 쓰는 운영자 2명이 10월 22일 오전 11시부터 31분간 추적하기 어려운 익명 네트워크 ‘I2P’의 비공개 채널에서 이 같은 계획을 논의한 장면이 포착됐다. </p> <p contents-hash="72b0dfae0219970b6558a81eaf638d8aad18bc93ee339dd25da0312da5a058b1" dmcf-pid="uoX0fHoMTo" dmcf-ptype="general">대화록에 담긴 작업 지침은 구체적이다. 운영자들은 서버가 외부에 드러낸 정보 가운데 PHP 버전만 조용히 모으고 대규모 탐색은 하지 않기로 했으며, 보안 감시가 강해 보이는 대상은 피하라고 지시했다. 21일 보안 업데이트를 마친 서버는 따로 표시해 공격 대상에서 뺀다.</p> <p contents-hash="68af6ffd840205a8960d561db05eca6028dd8ede866e99128360a337584d11e2" dmcf-pid="7KEIZkKpSL" dmcf-ptype="general">이미 공개된 공격 시연 코드(PoC)는 새로 만들지 않고 가져다 쓰되 자체 AI로 효과가 큰 순서대로 줄을 세운 뒤 통제된 시험 환경에서 검증하기로 했다. 대화에서 공유된 공격 준비용 서버 주소(IP)는 15개다.</p> <p contents-hash="ca8c3864a857d626c6ff658dc975034fdb056469d08db6934ca5dbdaef23fba8" dmcf-pid="z9DC5E9UTn" dmcf-ptype="general">공격 대상은 3단계로 나뉜다. 1순위는 정부기관과 은행 등 금융기관으로 한국, 미국, 일본, 아랍에미리트(UAE), 유럽연합(EU), 태국, 인도네시아, 사우디아라비아가 해당된다. 제조업, 물류·해운·항만, 공항·항공은 2순위, 온라인 결제·거래 플랫폼과 무역회사, 건설사는 3순위다.</p> <p contents-hash="9f4739cc3cd40988cfe6b41971a26ca616e23c6746b555161cbc5a22a71a14cb" dmcf-pid="q2wh1D2uTi" dmcf-ptype="general">가장 유력한 침투 방법은 서버에 파일을 올리는 요청을 교묘하게 조작해 로그인 없이 서버에 명령을 내리는 것이다. 아파치(Apache) 웹서버에 PHP를 기본 방식으로 연결해 쓰는 곳이 가장 위험하다. 서버 접근 권한 판매, 가상자산 탈취, 랜섬웨어 공격 준비, 계정 정보 탈취 등 다양한 공격이 예상된다. 국가 연계 정보 수집 활동도 있을 것으로 보인다. </p> <p contents-hash="4ba01bb6b5fba9b377cdbd5427311246dc8ada6af8d2d2f12645152041a0fbaa" dmcf-pid="BVrltwV7TJ" dmcf-ptype="general">사이퍼마는 이 운영자들이 올해 3월부터 같은 채널에서 활동해 온 것으로 파악했다. PHP 개발진이 보안 업데이트를 내놓은 10월 21일 이후에도 이들은 업데이트를 마친 서버를 걸러내며 공격 대상 목록을 다듬고 있었다. 사이퍼마는 목록 1차본이 나오는 25일을 다음 검토 시점으로 제시했다.</p> <p contents-hash="185f6fc8df6669cb020b8cec7f6bc50c74b6ed8761b054b0621c591faf0cf776" dmcf-pid="bfmSFrfzCd" dmcf-ptype="general">PHP2Shell은 이미 일반 해커들 사이에서도 표적이 된 결함이다. 아마존 보안팀은 10월 17일 첫 공격 시도를 포착했고, 클라우드플레어는 22일까지 공격 시도가 수백만 건 있었다고 보고했다.</p> <p contents-hash="45c943d9f4eda611cfda63732357f32cf2e0a0a160cda89a2dac02170218a6cf" dmcf-pid="K4sv3m4qhe" dmcf-ptype="general">한국이 1순위 지역에 오른 만큼 정부 차원의 선제 대응이 시급하다. PHP 8.1 이하 버전은 공식 보안 업데이트가 나오지 않아 이를 쓰는 공공·금융 서버가 있는지 정부가 전수 점검하고 업데이트나 외부망 분리를 지원해야 하는 상황이다. </p> </section> </div> 관련자료 이전 AI로 자살예방·간 질환약 개발…난제 해결에 GPU 200장 투입 10-25 다음 [대한민국 SNS 대상]경기도주식회사 '배달특급', 참여형 콘텐츠로 SNS 소통 성과 인정 10-25 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
