AI로 찾은 취약점 하나 뚫자 줄줄이···'취약점 체이닝' 현실화 작성일 10-30 41 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">여러 취약점 연쇄적으로 악용···방화벽·내부 서버 침투<br>서버 25대 침해 정황···美 정부 관련 시스템 포함<br>NAS·공유기 등 내부망 장비로 공격 확산 우려</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="2DLaB3kLro"> <p contents-hash="a5afae5550e2cd0082917d8f6690d345a37ce8f35910c108ec3b7c841166d333" dmcf-pid="VjeiUZaemL" dmcf-ptype="general"> [이데일리 안유리 기자] 인공지능(AI)을 활용한 치명적인 보안 취약점 발견이 잇따르는 가운데, 여러 취약점을 연쇄적으로 악용해 기업 내부망까지 침투하는 이른바 ‘취약점 체이닝(Vulnerability Chaining)’ 공격이 현실화하고 있다. </p> <figure class="figure_frm origin_fig" contents-hash="ac516014860b3836d99d71d432dd316d22e7323232f4ebb278fc125571cc6938" dmcf-pid="fAdnu5NdEn" dmcf-ptype="figure"> <p class="link_figure"><img alt="(로이터/연합뉴스)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/30/Edaily/20261030155435842xlvu.jpg" data-org-width="720" dmcf-mid="KIJw8BIksa" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/30/Edaily/20261030155435842xlvu.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> (로이터/연합뉴스) </figcaption> </figure> <div contents-hash="48fa206118f16ad374f4be6325aa4e4dad848ce5de823904373af478fdbcc4cf" dmcf-pid="4cJL71jJIi" dmcf-ptype="general"> 최근 발견된 PHP 소프트웨어의 치명적인 보안 취약점을 악용해 한국과 미국, 일본, 대만의 방화벽과 미국 정부 관련 내부 서버 등 총 25대의 최고 관리자 권한이 탈취된 정황이 포착됐다. </div> <p contents-hash="57d62d05a1b5c9f910079456c35dbc0c1315bbd184254ac1524425882e76240b" dmcf-pid="8kioztAiDJ" dmcf-ptype="general">취약점 체이닝은 서로 다른 보안 취약점 여러 개를 연결해 공격하는 방식이다. 하나의 취약점으로 시스템에 침투한 뒤 다른 취약점을 이용해 관리자 권한을 확보하거나 내부망으로 공격 범위를 넓히는 식이다. 최근 AI를 활용한 취약점 탐지와 공격 도구 개발이 손쉬워지며 연쇄 공격의 문턱 역시 낮아졌다.</p> <p contents-hash="96c073047ffd850a55ab9a8b1b6e4393881963391d4f816d249a11258a706f48" dmcf-pid="6EngqFcnId" dmcf-ptype="general">최근 발견된 PHP 취약점 ‘PHP2Shell’을 악용한 공격이 대표적인 사례다. 이스라엘 사이버보안 기업 드림리서치가 26일 발표한 보고서에 따르면 공격자들은 최근 원격 코드 실행 취약점과 리눅스 운영체제의 권한 상승 취약점을 연계했다. 침해 정황이 확인된 건 방화벽 24대와 미국 정부 관련 기관의 내부 관리 서버 1대 등 총 25대이다. </p> <figure class="figure_frm origin_fig" contents-hash="0f8433e7f783f31ec96a9bbc6bed5b173d116691be28f55c13203cc1c6a3821e" dmcf-pid="PDLaB3kLwe" dmcf-ptype="figure"> <p class="link_figure"><img alt="글로벌 보안 기업 드림 리서치가 26일(현지시간) 연결된 PHP 취약점 공격으로 서버 25대가 장악됐다는 정황을 발견했다고 발표했다. (사진=드림 리서치 홈페이지 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/30/Edaily/20261030155437052fion.jpg" data-org-width="1280" dmcf-mid="91GZAi3Grg" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/30/Edaily/20261030155437052fion.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 글로벌 보안 기업 드림 리서치가 26일(현지시간) 연결된 PHP 취약점 공격으로 서버 25대가 장악됐다는 정황을 발견했다고 발표했다. (사진=드림 리서치 홈페이지 갈무리) </figcaption> </figure> <div contents-hash="dd6100b2013b7b0b429fe53d7149fff8da390c86116d48f380df35256e590823" dmcf-pid="QwoNb0EomR" dmcf-ptype="general"> 공격자는 먼저 PHP2Shell 취약점을 이용해 외부에 노출된 방화벽에서 악성 명령을 실행했다. 이후 리눅스 운영체제의 별도 취약점인 ‘프라그네시아(Fragnesia)’를 연계해 최고 관리자 권한을 확보했다. 최초 침투에 성공한 뒤에는 내부망으로 이동해 방화벽 관리 서버까지 장악하고 계정 정보 등을 탈취한 것으로 분석됐다. </div> <p contents-hash="9eb81e19d249f19ecef5be03b5d34f1cd48a675ff0336f5e2d10fe1a903fcb3c" dmcf-pid="xrgjKpDgmM" dmcf-ptype="general">드림리서치가 확보한 공격 도구에서는 AI 활용 정황도 발견됐다. 공격 환경에 앤트로픽의 AI 코딩 도구 ‘클로드 코드’가 설치돼 있었으며 중국 AI 모델인 딥시크와 키미를 활용하도록 설정된 도구도 확인됐다. 다만 실제 공격 코드 작성에 AI가 직접 사용됐는지는 확인되지 않았다.</p> <p contents-hash="63e70f4542122eb743476829fc40e9d95aac6fab2ecf60f47471befb4676a742" dmcf-pid="ybFpmjqFwx" dmcf-ptype="general">또 다른 글로벌 보안 업체도 해당 공격 사례를 재확인했다. 팔로알토네트웍스의 보안 연구조직 유닛42(Unit 42)는 29일 보고서에서 드림리서치가 발견한 공격자의 도구를 독립적으로 검증하고 분석 결과를 확인했다고 밝혔다.</p> <p contents-hash="2705c8f9a3fbc448adce031b1ca22ba56a9b09d8d5216140d9ae08f2ea277266" dmcf-pid="WK3UsAB3IQ" dmcf-ptype="general">유닛42는 전 세계 인터넷에 노출된 시스템 가운데 PHP 취약점의 영향을 받을 가능성이 있는 인스턴스(개별적으로 실행되는 서버나 소프트웨어 환경)가 2260만개 이상 관측됐다고 설명했다. 다만 이는 잠재적인 취약 시스템 규모로, 실제 침해된 시스템 수를 의미하지는 않는다.</p> <p contents-hash="c741efff4e3f0b5bb8209e9f1295cd0379e5e90092ede66239480af118c756a9" dmcf-pid="Y1vWoMZvsP" dmcf-ptype="general"><strong>지니언스 “PHP2Shell, 진짜 뇌관은 내부망”</strong></p> <p contents-hash="95d69b8042a7fc7e6cb1f55e9ef8fe722ff6509111812fc72a50a889b5cedd25" dmcf-pid="GtTYgR5Ts6" dmcf-ptype="general">보안 업계에서는 공격 대상이 일반 웹서버를 넘어 기업 내부망에 연결된 네트워크 장비로 확대될 가능성을 경고하고 있다. 국내 사이버보안 기업 지니언스는 30일 PHP 취약점으로 웹서버보다 내부망의 NAS·공유기·방화벽 등이 핵심 표적이 될 가능성이 높다고 지적했다. </p> <p contents-hash="20dd2f788eaed26f3ffc758119bfc0ab8f201e64751a4d095fc59ec2bd63214f" dmcf-pid="HFyGae1yw8" dmcf-ptype="general">지니언스가 클라우드 네트워크 접근제어(NAC) 플랫폼에 축적된 장비 식별 데이터를 통계적으로 분석한 결과, 내부망에서 PHP 환경을 구동 중인 장비 중 96%가 PHP2Shell 취약점에 직접 노출된 것으로 확인됐다. 취약 장비 중 78%는 PHP 공식 지원이 중단된 8.1 이하 구버전이었으며, 2018년에 지원이 종료된 5.x 이하 버전을 구동 중인 장비도 48%에 달했다.</p> <p contents-hash="678b184e1dfc0b072c26ce7357fc09e1227881d4b39254ef514e961420f7f4d8" dmcf-pid="X3WHNdtWO4" dmcf-ptype="general">지니언스에 따르면 확인된 장비의 89%는 외부 인터넷 검색엔진 스캐너로는 접근이 불가능한 사설 IP(내부망) 대역에 위치해 있었다. 관리자가 해당 장비 내부에 PHP가 탑재되어 구동 중이라는 사실 자체를 인지하지 못해 장기간 방치될 수 있다. 내부망 전체 자산의 정확한 ‘가시성 확보(식별)’가 필요한 상황이다. </p> <p contents-hash="6a23a772db05931b9fd75362c08321d0a1520de24c145173053885cd6850fd8f" dmcf-pid="Z0YXjJFYrf" dmcf-ptype="general">김계연 지니언스 미국법인장 겸 CTO(최고기술책임자)는 “내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다”며, “특히 제조사 지원이 종료되어 공식 패치가 존재하지 않는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적”이라고 말했다.</p> <p contents-hash="75ba4a90f2bc8c42a0b8838c526b1c834c543b5ce8f200534ec1259e402c41fb" dmcf-pid="5pGZAi3GrV" dmcf-ptype="general">안유리 (inglass@edaily.co.kr) </p> </section> </div> <p class="" data-translation="true">Copyright © 이데일리. 무단전재 및 재배포 금지.</p> 관련자료 이전 52년 전 연쇄살인마 '테드 번디' 미제 사건 푼 DNA 분석기술 10-30 다음 네이버, 얼굴로 입장·결제…온·오프라인 연결 시동 10-30 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
