PHP 해킹 우려 현실로…이스라엘 보안기업 “美 정부 관련 기관 내부망 뚫려” 작성일 10-29 34 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">서버 25대 장악 정황…한국도 공격 표적<br>계정·인증정보 탈취, 중국 연계·AI 활용 단서도</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="VDkfMQHlGk"> <figure class="figure_frm origin_fig" contents-hash="545718605fe039d944e92099fc46d1d1cca24edb84cdc56fdb65a022fe740b9c" dmcf-pid="fwE4RxXSGc" dmcf-ptype="figure"> <p class="link_figure"><img alt="/일러스트=김성규" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/29/chosun/20261029170641022hmpk.jpg" data-org-width="1200" dmcf-mid="2sw6dR5TtE" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/29/chosun/20261029170641022hmpk.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> /일러스트=김성규 </figcaption> </figure> <p contents-hash="35e304341554a8c8bbc1d1c1071407e278c69d42661b9fb9f94261520e64ba6c" dmcf-pid="4rD8eMZvYA" dmcf-ptype="general">웹사이트 구축과 운영에 널리 쓰이는 프로그래밍 언어 ‘PHP’의 보안 허점을 악용한 해킹 시도 사례가 잇따르는 가운데, 이번에는 미국 정부 관련 기관의 내부망까지 침투한 공격 정황이 드러났다.</p> <p contents-hash="a9e210d9d8afcdf6223dc1e7d2413319d0ce6ce671f4e2aa1fadae9370773d74" dmcf-pid="8mw6dR5T1j" dmcf-ptype="general">방화벽(외부 침입을 차단하는 네크워크 보안장비)과 중앙 관리 서버 등 총 25대의 최고 관리자(루트·root) 권한이 탈취됐고, 한국이 공격 대상에 포함됐다는 분석도 나왔다. 보안 업계 관계자는 “PHP 보안 결함이 조직 내부의 핵심 시스템 침해로 이어질 수 있다는 우려가 현실화하고 있다”고 했다.</p> <p contents-hash="db2545540b32e868165834aa3a2663c18b8c93236e489024510e0075f68e68f9" dmcf-pid="6srPJe1yGN" dmcf-ptype="general">이스라엘 사이버 보안 기업 드림의 연구 조직 드림 리서치는 지난 26일 보고서에서 공격 대상 목록과 실행 기록, 공격용 프로그램 등을 분석해 이 같은 정황을 확인했다고 밝혔다. 드림은 “외부에 노출된 관리 기능이 조직의 계정·인증 체계로 침투하는 경로가 될 수 있음을 보여준다”고 설명했다. 국내 시스템의 실제 침해 여부는 확인되지 않았다.</p> <p contents-hash="6ccf9a7ce8f20df6ba9cb2a1e2b2fd98b6109eb44be787882c53d0c1917b9a5f" dmcf-pid="POmQidtW1a" dmcf-ptype="general"><strong>◇방화벽 240대 겨냥… 보안 결함 연달아 악용</strong></p> <p contents-hash="df780fccc850509113c9e572f40c2c41275744e138aad14f351c0207d183c424" dmcf-pid="QIsxnJFYtg" dmcf-ptype="general">PHP는 웹사이트를 구축하고 로그인·검색·주문·결제 등의 기능을 처리하는 데 쓰이는 언어다. 지난 21일 PHP의 중대한 보안 결함 두 건이 공개된 이후, 이를 악용한 공격 시도와 실제 침해 사례가 잇따라 보고되고 있다. 이번 공격은 방화벽의 웹 관리 기능에 사용된 PHP의 결함을 파고들었다.</p> <p contents-hash="3e0ecd77d255a555fbb22bb2db3e546375e82673d95c75db0a2635e9080480da" dmcf-pid="xJe0BzsAZo" dmcf-ptype="general">드림에 따르면 공격자는 인터넷에 관리 화면이 노출된 특정 업체가 공급한 네트워크 방화벽 약 1만9000개를 탐색한 뒤, 이 중 한국·미국·일본·대만의 장비 240대를 공격 대상으로 추렸다. 이어서 지난 23~24일 PHP 취약점 ‘PHP2Shell’을 이용해 장비에서 명령을 실행하고, 리눅스 운영체제의 별도 취약점으로 권한을 높여 방화벽 24대를 장악했다.</p> <p contents-hash="1844946efb475dbba85871edabe48a8962c1d33bba5e2be6d95846260b1771a7" dmcf-pid="yXGNwE9UtL" dmcf-ptype="general">최고 관리자 권한이란 유닉스와 리눅스 등 컴퓨터 운영체제의 설정을 바꾸고 저장된 다양한 정보를 접근·삭제할 수 있는 권한이다. 방화벽 역시 웹서버와 마찬가지로 운영체제에 기반해 작동한다. 드림은 이들 제조사에 관련 사실을 통보했지만 보안상 이유로 업체명과 피해 제품 버전은 공개하지 않았다.</p> <p contents-hash="0577e1e23ca60d6619f42bd764ac9098c3a23ac93cdd1d9cc156e7c125685bba" dmcf-pid="WZHjrD2utn" dmcf-ptype="general"><strong>◇내부 서버로 침투 확대… 계정 목록·비밀 키 확보</strong></p> <p contents-hash="fcf5ec28024bba27f58f691cfbcd9a00375f2918d1c84d6d9fed17b5c4811bb6" dmcf-pid="Y5XAmwV7ti" dmcf-ptype="general">미국 정부 관련 기관에서는 방화벽 2대가 침해됐다. 공격자는 이 가운데 한 대를 통해 내부망에 들어가 외부에서는 직접 접근할 수 없던 중앙 관리 서버까지 장악했다. 여러 방화벽을 한곳에서 관리하는 서버가 뚫리면서 다른 방화벽의 설정과 인증 정보에도 접근할 수 있게 됐다는 분석이다. 이 서버 1대가 추가되면서 전체 장악 규모는 25대로 늘었다.</p> <p contents-hash="aec54068ea099f503583074d09ceca66da83155e42f6611df5bc5d46c51bcadb" dmcf-pid="G1ZcsrfzXJ" dmcf-ptype="general">드림은 공격 기록을 통해 공격자의 확보 사실을 확인한 정보에는 내부 서버의 위치와 역할, 가상사설망(VPN) 접속 지점, 전체 사용자와 그룹 목록(서버에 로그인 권한이 있는 ID의 전체 리스트) 등이 포함됐다고 밝혔다. 계정 조회·인증 연동에 쓰이는 서비스 계정의 비밀번호와 방화벽에 저장된 인증용 비밀키도 확보된 것으로 나타났다.</p> <p contents-hash="019554ce0fdef55976b229e41945bcb089fa2fe52dc405304abb02cd650a9c5b" dmcf-pid="Ht5kOm4qHd" dmcf-ptype="general">모든 직원의 비밀번호나 업무 자료가 유출됐다는 뜻은 아니다. 드림은 추가 계정 탈취와 재침입용 계정 생성 등 후속 공격의 결과 기록을 확보하지 못해 전체 침해 범위를 판단할 수 없다고 밝혔다. 나머지 방화벽 22대에는 원격으로 명령을 실행하는 ‘웹셸’이 남겨져 추가 공격 가능성도 제기됐다.</p> <p contents-hash="ed1b88d69b5efdb31fb17c67a0a1d23f246dd189e3491523e9177f7e775e669e" dmcf-pid="XF1EIs8B1e" dmcf-ptype="general"><strong>◇중국 연계·AI 활용 단서… 공격 주체는 특정 못 해</strong></p> <p contents-hash="2a88644927b51fe0b1ce86cc826ea29888c2c9187aec9269b853a6d1b10dc998" dmcf-pid="Z3tDCO6bGR" dmcf-ptype="general">드림은 중국의 인터넷 자산 검색 서비스 ‘FOFA(포파)’와 중국산 네트워크 연결 도구가 사용된 점, 공격 인프라의 시간대가 중국 표준시와 일치하는 점, 중국어 지시문이 발견된 점 등을 근거로 중국 연계 가능성을 제기했다. 다만 특정 해킹 조직의 소행으로 확정하지는 않았다.</p> <p contents-hash="0bf0c35e6ca6b88a787794acee1ef275d45ec501f2343013a70b53fdcbcba596" dmcf-pid="50FwhIPKtM" dmcf-ptype="general">공격 환경에는 앤스로픽의 AI 코딩 도구 ‘클로드 코드’가 설치돼 있었고, AI 기반 공격 보안 도구 ‘aiscan(에이아이스캔)’에는 딥시크·키미 모델을 사용하기 위한 설정이 포함돼 있었다.</p> <p contents-hash="2e8bea9c0d81497ed6a256d36b33c58b410b1c250a1e13872e7fafc60b96bb9b" dmcf-pid="1p3rlCQ9Hx" dmcf-ptype="general">드림은 공격용 프로그램 약 40개의 코드 구조와 주석 작성 방식이 일관된 점을 들어 AI를 활용해 개발했을 가능성을 제기했다. 다만 AI가 공격 코드를 직접 작성했다는 증거는 없으며, 공격 전 과정이 AI에 의해 자율적으로 수행된 것으로도 보이지 않는다고 밝혔다.</p> </section> </div> <p class="" data-translation="true">Copyright © 조선일보. 무단전재 및 재배포 금지.</p> 관련자료 이전 "마르는 암 환자…식욕·근력 지킨다" 10-29 다음 삼성D "내년 폴더블 등 플래그십 비중 확대...IT 8세대 램프업" 10-29 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
