555 읽음
北, 韓 정부·금융 겨냥 PHP 공격 준비 마무리...제조·물류·항공도 타깃
아주경제
0
25일 싱가포르 사이버 위협 분석 기업 사이퍼마에 따르면 한국어를 쓰는 운영자 2명이 10월 22일 오전 11시부터 31분간 추적하기 어려운 익명 네트워크 ‘I2P’의 비공개 채널에서 이 같은 계획을 논의한 장면이 포착됐다.
대화록에 담긴 작업 지침은 구체적이다. 운영자들은 서버가 외부에 드러낸 정보 가운데 PHP 버전만 조용히 모으고 대규모 탐색은 하지 않기로 했으며, 보안 감시가 강해 보이는 대상은 피하라고 지시했다. 21일 보안 업데이트를 마친 서버는 따로 표시해 공격 대상에서 뺀다.
이미 공개된 공격 시연 코드(PoC)는 새로 만들지 않고 가져다 쓰되 자체 AI로 효과가 큰 순서대로 줄을 세운 뒤 통제된 시험 환경에서 검증하기로 했다. 대화에서 공유된 공격 준비용 서버 주소(IP)는 15개다.
공격 대상은 3단계로 나뉜다. 1순위는 정부기관과 은행 등 금융기관으로 한국, 미국, 일본, 아랍에미리트(UAE), 유럽연합(EU), 태국, 인도네시아, 사우디아라비아가 해당된다. 제조업, 물류·해운·항만, 공항·항공은 2순위, 온라인 결제·거래 플랫폼과 무역회사, 건설사는 3순위다.
가장 유력한 침투 방법은 서버에 파일을 올리는 요청을 교묘하게 조작해 로그인 없이 서버에 명령을 내리는 것이다. 아파치(Apache) 웹서버에 PHP를 기본 방식으로 연결해 쓰는 곳이 가장 위험하다. 서버 접근 권한 판매, 가상자산 탈취, 랜섬웨어 공격 준비, 계정 정보 탈취 등 다양한 공격이 예상된다. 국가 연계 정보 수집 활동도 있을 것으로 보인다.
사이퍼마는 이 운영자들이 올해 3월부터 같은 채널에서 활동해 온 것으로 파악했다. PHP 개발진이 보안 업데이트를 내놓은 10월 21일 이후에도 이들은 업데이트를 마친 서버를 걸러내며 공격 대상 목록을 다듬고 있었다. 사이퍼마는 목록 1차본이 나오는 25일을 다음 검토 시점으로 제시했다.
PHP2Shell은 이미 일반 해커들 사이에서도 표적이 된 결함이다. 아마존 보안팀은 10월 17일 첫 공격 시도를 포착했고, 클라우드플레어는 22일까지 공격 시도가 수백만 건 있었다고 보고했다.
한국이 1순위 지역에 오른 만큼 정부 차원의 선제 대응이 시급하다. PHP 8.1 이하 버전은 공식 보안 업데이트가 나오지 않아 이를 쓰는 공공·금융 서버가 있는지 정부가 전수 점검하고 업데이트나 외부망 분리를 지원해야 하는 상황이다.