방화벽 취약점 악용한 대규모 사이버 공격 발생

외부 침입을 차단해야 할 방화벽이 오히려 해커들의 내부망 침투를 돕는 통로로 전락했다. 한국과 미국, 일본, 대만에 걸쳐 총 25대의 서버에서 최고 관리자 권한이 탈취되는 사이버 공격이 발생했으며, 이 과정에서 미국 정부 관련 기관의 내부 관리 서버까지 침해된 것으로 드러났다. 공격자들은 내부 계정의 비밀번호를 확보한 뒤 사용자 및 그룹 정보를 조회했으며, 추가적인 계정 탈취를 시도하는 등 치밀한 행보를 보였다.

이스라엘 보안 기업 드림리서치는 지난 26일(현지시간) 리눅스 커널의 권한 상승 취약점을 연계한 이번 공격에 대한 분석 보고서를 공개했다. 공격 세력은 인터넷에 노출된 약 1만 9000대의 방화벽을 탐색했으며, 그중 약 5000대 장비에서 응답 값과 소프트웨어 버전을 확인하는 데 성공했다. 이후 한국, 미국, 일본, 대만 지역의 방화벽 중 공격에 적합한 버전을 사용하는 240대를 선별하여 집중 공격을 수행했다.

관리자 권한 탈취를 통한 내부 네트워크 장악

자동화된 공격 기법을 통해 총 24대의 방화벽에서 시스템 최상위 권한인 '루트(root)'를 확보했다. 특히 미국 정부 관련 기관의 내부 방화벽 관리 서버 1대가 추가로 침해되면서 장악된 서버는 총 25대로 늘어났다. 드림리서치는 한국을 포함한 4개국에서 서버 침해가 발생했다고 밝혔으나, 국가별 구체적인 피해 수치나 한국 소재 기관의 세부 피해 규모는 공개하지 않았다.

이번 공격의 핵심은 외부 침입을 막는 방화벽 자체가 내부 네트워크로 향하는 역설적인 경로가 되었다는 점이다. 공격자는 인터넷에 노출된 방화벽 관리용 웹 서버의 취약점을 이용해 원격 명령을 실행한 뒤, 리눅스 커널 취약점을 결합하여 최고 관리자 권한을 손에 넣었다. 보안 업계 관계자에 따르면, 방화벽 관리자 권한을 탈취하면 내부망 보안 규칙을 무력화하거나 공격자에게 유리하게 변조할 수 있으며, 저장된 인증 정보를 탈취해 내부 구조를 파악하는 등 2차 공격의 발판으로 삼을 수 있다.

실제 미국 정부 관련 기관의 경우, 공격자는 경계 방화벽을 통해 내부 서버의 주소와 역할, 네트워크 구성을 파악했다. 이어 방화벽과 공격자 시스템을 연결하는 '역방향 터널'을 구축했는데, 이 통로는 장비가 재부팅되어도 자동으로 다시 연결되도록 설정되어 있었다. 이를 통해 외부 접근이 차단된 내부 방화벽 관리 서버까지 침투할 수 있었다. 이 서버는 조직 내 여러 방화벽의 설정과 인증 정보를 중앙에서 관리하는 핵심 시스템이다.

계정 인증 체계 침투와 잔존하는 보안 위협

공격은 단순 서버 장악을 넘어 조직의 계정 인증 체계로까지 확대되었다. 분석 결과, 공격자는 서비스 계정의 비밀번호를 복호화하고 액티브디렉터리(AD) 내의 사용자 및 그룹 정보를 조회했다. AD는 조직 구성원의 계정과 권한을 관리하는 시스템이며, 서비스 계정은 시스템 간 통신에 쓰이는 계정이다. 공격자가 이 계정의 비밀번호를 확보하면 해당 권한을 이용해 다른 내부 시스템에 접근할 위험이 크다. 또한 공격자는 조직 이름과 관련된 비밀번호를 여러 계정에 대입하거나, AD에 새로운 계정을 만들어 재접근 경로를 확보하려는 시도도 보였다.

염흥열 순천향대 정보보호학과 교수는 "AD 정보 유출은 조직 내부에서만 공유되어야 할 정보가 해커에게 접근된 것"이라며, 인증 정보를 관리하는 시스템이 뚫린 만큼 사용자 사칭 등에 악용될 가능성을 우려했다. 다만 비밀번호 대입 공격이나 백도어 계정 생성 시도 등이 실제로 성공했는지 여부는 확인되지 않았다.

방화벽을 장악한 공격자가 이후에도 재접근할 수 있는 수단을 남겨두었다는 점도 심각한 문제다. 드림리서치에 따르면 공격자는 권한을 확보한 24대의 방화벽 중 22대에 웹셸을 설치했다. 웹셸은 원격으로 명령을 실행할 수 있는 악성 프로그램으로, 취약점을 수정하더라도 다시 침입할 수 있는 통로가 된다. 보안 업계 관계자는 이를 두고 "공격자가 원하는 시점에 언제든 다시 접속해 2차 피해를 일으킬 수 있는 시한폭탄과 같은 상태"라고 지적했다.

미국 정부 관련 기관에서는 웹셸 외에도 별도의 내부망 연결 통로가 구축된 것으로 나타났다. 드림리서치는 공격자가 방화벽에 저장된 일부 암호화 키와 장비 인증용 키도 확보했다고 분석했다. 염 교수는