[T나는 보안] 'PHP' 취약점 타고 방화벽으로 침투…美정부기관 서버까지 작성일 10-29 39 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">보도기사</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="3BZiUJFY7t"> <p contents-hash="a380897bacefd29c611bdfb23deda39d66a56a20bce6d85bb47df17005f5f4a9" dmcf-pid="0b5nui3Gp1" dmcf-ptype="general">한미일·대만 방화벽 240대 선별 공격…韓 피해 여부는 미확인<br>中 연계 의혹…공격 인프라서 '클로드 코드'·딥시크·키미 설정 확인</p> <figure class="figure_frm origin_fig" contents-hash="bfca947a048f46603df12e7f08fe9844f8e0eaac5d95e84ed082e03acdfb4153" dmcf-pid="pK1L7n0HU5" dmcf-ptype="figure"> <p class="link_figure"><img alt="PHP 소프트웨어 취약점을 악용한 사이버 공격" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/29/551724-22lyJQR/20261029111015774nbax.jpg" data-org-width="600" dmcf-mid="thmKvbCE03" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/29/551724-22lyJQR/20261029111015774nbax.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> PHP 소프트웨어 취약점을 악용한 사이버 공격 </figcaption> </figure> <p contents-hash="04cb4810939d92c08d52b4363a374ebc464eb1b1fe13a865dfed46046d016e43" dmcf-pid="U9tozLpXpZ" dmcf-ptype="general"><br>최근 알려진 PHP 취약점을 악용한 사이버 공격으로 방화벽 24대의 최고 관리자 권한이 탈취됐고, 미국 정부 관련 기관에서는 내부 관리 서버까지 장악당한 정황이 드러났습니다.</p> <p contents-hash="4bd7c454baed41ce28238d34bcfc3016ee7b4392542c759f63fa23fa08773663" dmcf-pid="ulAUspDg7X" dmcf-ptype="general">29일 보안업계에 따르면 이스라엘 사이버보안 기업 드림의 보안 연구조직 드림 리서치는 지난 23∼24일 한국과 미국, 일본, 대만의 방화벽을 노린 대규모 공격이 있었다고 분석했습니다.</p> <p contents-hash="b4cccee1176bf75134ccbba64cfc0647b528ca5647522f3607b6e07f83d2dc59" dmcf-pid="7ScuOUwapH" dmcf-ptype="general">전체 침해는 방화벽 24대에 관리 서버 1대를 더한 25대입니다.</p> <p contents-hash="318aa5ea97fd36e8cb0eac1bd6bf90375300eec17c50acf1e16957145d6f8b77" dmcf-pid="zvk7IurNpG" dmcf-ptype="general">◆ 1만9천대 탐색, 240대 선별, 24대 장악</p> <p contents-hash="9ff308b8e5e04b5a6776912088777db81b0da9d54586f37b745fe37e886ba0c9" dmcf-pid="qTEzC7mjFY" dmcf-ptype="general">드림 리서치가 확보한 공격 기록에 따르면 공격자는 전 세계 방화벽 약 1만9천대를 먼저 탐색했습니다.</p> <p contents-hash="afb80cec88fb59078688226823e4a13805e373199f4ef57565d733a53ae2c532" dmcf-pid="ByDqhzsAzW" dmcf-ptype="general">이 가운데 한국과 미국, 일본, 대만에 있는 장비 240대를 최종 공격 대상으로 골랐습니다.</p> <p contents-hash="027fad05fa159fcc2ef567852be763bb2d90f3c36ac125262bc970f88dc4553c" dmcf-pid="bWwBlqOc0y" dmcf-ptype="general">방화벽 관리 서버에 탑재된 PHP 기능의 원격 코드 실행 취약점 'PHP2Shell'을 악용해 침투했습니다.</p> <p contents-hash="538213457dc258ccbc3d7506e890ce9a615b146c82f125d03644b71484310dd7" dmcf-pid="KYrbSBIkpT" dmcf-ptype="general">여기에 리눅스 운영체제의 권한 상승 취약점을 연쇄적으로 활용해 방화벽 24대의 최고 관리자(root) 권한을 확보했습니다.</p> <p contents-hash="a6d5a03512c2149f0e2ae93e6710e86f3462e528cde65f191fd54881ca7d36af" dmcf-pid="9GmKvbCEuv" dmcf-ptype="general">대상 240대 가운데 24대가 뚫려 성공률은 10% 수준으로 계산됩니다.</p> <p contents-hash="ba2eeb1bda7782897e37af4c82d7dc6569bfb78ff4bbc6826ca1ce23b6615b12" dmcf-pid="2Hs9TKhDUS" dmcf-ptype="general">◆ 美 정부기관은 방화벽에서 관리 서버까지</p> <p contents-hash="28bf00de104852e735c594bac08f7dff0c2ccf69e764af146e1466e48994fc6b" dmcf-pid="VXO2y9lwFl" dmcf-ptype="general">미국 정부 관련 기관에서는 방화벽 2대가 침해된 데 이어 내부 관리 서버 1대까지 공격당했습니다.</p> <p contents-hash="61851b09c2cd18be77f0fa818f6e8325396e95231d064a16d309a067cf3109c9" dmcf-pid="fZIVW2Sr0h" dmcf-ptype="general">공격자는 이 기관의 방화벽으로 내부망에 들어간 뒤 중앙 관리 서버까지 장악했습니다.</p> <p contents-hash="a955a4a170bd3a58caf7cef8b61f3fa6793d828e5c0b8e3bc90b06a65fc8365e" dmcf-pid="45CfYVvmuC" dmcf-ptype="general">이를 통해 관리 대상인 다른 방화벽의 설정과 인증정보에 접근할 수 있었던 것으로 파악됐습니다.</p> <p contents-hash="638e191ff4e9fe8077272a58cc4ca84169e5706f562ce18a2e62dbce3bb8cbd6" dmcf-pid="8pyx1QHlzI" dmcf-ptype="general">다만 실제 민감정보 유출 규모와 추가 시스템 침해 여부는 확인되지 않았습니다.</p> <p contents-hash="7bbbc4f3bd6e8f7d1777aa9c1fe04a66d712cc631c2fb1430b3c6495fc909cf8" dmcf-pid="6UWMtxXSzO" dmcf-ptype="general">드림 리서치는 "이번 공격은 외부에 노출된 관리 인터페이스가 조직의 계정·인증 관리 인프라로 침투하는 경로가 될 수 있음을 보여준다"고 지적했습니다.</p> <p contents-hash="b565a4051a41f6646ed3998aaffa756ac4395b12bfede74df017b75551ed02e6" dmcf-pid="PuYRFMZv7s" dmcf-ptype="general">보안업계에서는 서버 25대가 장악됐다는 피해 규모보다 보안 장비인 방화벽이 조직 핵심 시스템으로 가는 침투 경로가 됐다는 점이 이번 사건의 본질이라고 봅니다.</p> <p contents-hash="088f30d8a73df7587832c6c59d2ddcb8a6fe506072a937e119810f0814e72bb6" dmcf-pid="Q7Ge3R5Tpm" dmcf-ptype="general">◆ 국내 피해는 아직 파악 안 돼…웹셸 22대 잠복</p> <p contents-hash="b4920adae512b348cd604a40b4cf0bab7a0426065eff35ca49ecdb5b4342597d" dmcf-pid="xzHd0e1y0r" dmcf-ptype="general">한국 소재 방화벽이 장악된 24대에 포함됐는지 등 국내 피해 여부는 아직 파악되지 않았습니다.</p> <p contents-hash="826764d7ed337e7c9afcd56752f5de6227798f97f620a2d2957632509d2a8703" dmcf-pid="yEdHNGLx7w" dmcf-ptype="general">한국은 공격 대상 4개국 가운데 하나로 거론됐을 뿐, 특정 국내 피해 기관은 확인되지 않았습니다.</p> <p contents-hash="e348b20dff0ba2498d9efa2c088d3d7473b6600d4fad24288161ab189da7a26d" dmcf-pid="WDJXjHoM0D" dmcf-ptype="general">드림 리서치는 "공격자가 최고 관리자 권한을 확보한 방화벽 24대 중 미국 정부 관련 기관의 방화벽 2대를 제외한 22대에 웹셸을 설치한 채 추가 공격 없이 남겨뒀다"며 이들 웹셸이 여전히 활성화돼 있을 가능성을 제기했습니다.</p> <p contents-hash="b146b6fec4c1b219e09bd1e0de09c3331c5415be8858d7f56a9fcec56dbc9224" dmcf-pid="YwiZAXgR0E" dmcf-ptype="general">내부 시스템을 겨냥한 서버 해킹 피해는 앞으로 더 늘어날 수 있습니다.</p> <figure class="figure_frm origin_fig" contents-hash="783b7d558d72b2d5aa7658ebf50f64a8846e14fd11ad868c2d06a9769596c33e" dmcf-pid="Grn5cZae3k" dmcf-ptype="figure"> <p class="link_figure"><img alt="AI 해커" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/29/551724-22lyJQR/20261029111015932fwzp.jpg" data-org-width="599" dmcf-mid="FHs9TKhD0F" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/29/551724-22lyJQR/20261029111015932fwzp.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> AI 해커 </figcaption> </figure> <p contents-hash="d62481142179fa51c532d6f8bb298c5dbe8d47329df136e35cb8554b0b3a8fb9" dmcf-pid="HmL1k5Ndpc" dmcf-ptype="general"><br>◆ 中 연계 의혹…특정 조직은 지목 안 해</p> <p contents-hash="fa70678fa091c20a9eaf36ab6cabc36f76fc3b1043f78b372a1d12ed69a8c919" dmcf-pid="XsotE1jJUA" dmcf-ptype="general">드림 리서치는 공격 과정에서 중국 해커 조직과 연계된 것으로 의심되는 정황을 여러 개 발견했습니다.</p> <p contents-hash="debe037c30705c96ddcf54c966a312a43a7da1db8dd104f50c99cd9b1ecffab8" dmcf-pid="Zf0Nba717j" dmcf-ptype="general">공격 대상이 한국과 미국, 일본, 대만 4개국에 집중됐습니다.</p> <p contents-hash="d8494fb08a4f97c5a6cd15bbc6a24711ee4874f778fd69305c48e5c2fc34be5f" dmcf-pid="54pjKNztuN" dmcf-ptype="general">중국의 인터넷 자산 검색 엔진 'FOFA'와 중국에서 개발된 네트워크 연결 도구가 쓰였습니다.</p> <p contents-hash="3adbadce1cc4a83cff7759493fcc62bb50ac795d2d926e4957d29f457d45cec7" dmcf-pid="18UA9jqF7a" dmcf-ptype="general">공격 인프라의 시간대는 중국 표준시와 일치했습니다.</p> <p contents-hash="a808f4979ec4aabdd31ed0efcb0ea5ebb92256002621d5689d1a8fa04bf7b1ef" dmcf-pid="t6uc2AB37g" dmcf-ptype="general">AI 기반 보안 플랫폼의 실행 기록에서는 중국어 프롬프트가 나온 점도 중국 연계 가능성을 뒷받침하는 정황으로 제시됐습니다.</p> <p contents-hash="e1910d4ce29bdafad8a2590975fc89bdadf96881709df2c1c096ba443d50df11" dmcf-pid="FP7kVcb03o" dmcf-ptype="general">다만 드림 리서치는 특정 위협 조직을 지목하지는 않았습니다.</p> <p contents-hash="81bdb74818260ee5d694056623226716f61cf850d3b51eb3b524682bace18183" dmcf-pid="3QzEfkKp3L" dmcf-ptype="general">◆ AI 활용 정황…"자율 공격은 아냐"</p> <p contents-hash="c4b8e5294ba91860f78e88e7c3b0cc599c8687e21fe8975d6fbcecfa53d1da53" dmcf-pid="0xqD4E9UFn" dmcf-ptype="general">공격 인프라에서는 앤트로픽의 AI 코딩 도구 '클로드 코드'가 설치된 사실이 확인됐습니다.</p> <p contents-hash="b4bec3687c6e995f70f118ba337533883c38ce39fd0ab5251c9a907a02acd32a" dmcf-pid="pMBw8D2u3i" dmcf-ptype="general">AI 기반 공격 보안 플랫폼 'aiscan'에는 중국 AI 모델 딥시크와 키미를 쓰기 위한 설정이 들어 있었습니다.</p> <p contents-hash="39fd850e48c10df75979cd5ff1f341ae350e183b474cd066fb93cabb1bfe6055" dmcf-pid="URbr6wV7uJ" dmcf-ptype="general">드림 리서치는 확보한 공격용 스크립트 약 40개의 코드 구조와 주석 작성 방식이 일관된 점을 들어 AI를 활용한 개발 가능성을 제기했습니다.</p> <p contents-hash="fb9e4fbae7758f72c89dd8a29338df01567fa2b54723a6045139e3641dd550cf" dmcf-pid="ueKmPrfzzd" dmcf-ptype="general">그러나 AI가 실제 공격 코드를 직접 작성했다는 증거는 없다고 밝혔습니다.</p> <p contents-hash="cb1ac934d0afad1189924d64761a201660be650c848ea06a101b35b154f99479" dmcf-pid="7d9sQm4que" dmcf-ptype="general">또 공격 전 과정이 AI에 의해 자율적으로 수행된 것으로 보이지는 않는다고 설명했습니다.</p> <p contents-hash="a3a72bf71c88a0e63a4bfc55fabeef62a824a10a3499f38265d8098aee3a0edf" dmcf-pid="zJ2Oxs8BuR" dmcf-ptype="general">◆ 패치가 관건…국내도 경보 '주의' 단계</p> <p contents-hash="3676e18986abfa5a5610a2dbcedc3d0525a812873c00b6f8a635a5ab4d5db5d4" dmcf-pid="qL4heCQ9uM" dmcf-ptype="general">PHP2Shell은 지난 21일 공개된 취약점으로, 과학기술정보통신부는 지난 22일 민간 분야 사이버위기 경보를 '주의'로 올렸습니다.</p> <p contents-hash="498020fd3da90e029730b582d234a07d130aabba8d5646f7b89a77a7198d685b" dmcf-pid="Bo8ldhx2Fx" dmcf-ptype="general">미국 사이버보안청(CISA)은 이 취약점이 실제 공격에 악용되고 있다고 확인하고, 연방기관에 오늘까지 완화 조치를 이행하라고 지시한 것으로 외신은 전했습니다.</p> <div contents-hash="9ec9e720149bcfac46349b03e73977db2c8806d1896ab89164137f930024020d" dmcf-pid="bg6SJlMVzQ" dmcf-ptype="general"> 방화벽 같은 보안 장비의 관리 인터페이스를 인터넷에 노출한 조직은 패치 적용과 노출 자산 점검이 시급하다는 지적입니다. <br> <div> <br> </div> <div> (사진=연합뉴스) </div> </div> <p contents-hash="649e8f0940c34809446a14ab2c8367f22f0a07d8d815280e19aa56a36324303b" dmcf-pid="KaPviSRf0P" dmcf-ptype="general">김건교 취재 기자 | kkkim@tjb.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © TJB </p> 관련자료 이전 로봇 다니는 병원, 집까지 이어지는 진료…‘AI 네이티브 병원’ 온다 10-29 다음 [Why&Next]구글·애플, 637억대 과징금…솜방망이 처벌 논란 10-29 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
