미 정부 기관 내부망 침투 정황 포착
웹사이트 구축 및 운영의 핵심 언어인 PHP의 보안 결함을 악용한 해킹 공격이 미 정부 관련 기관의 내부망까지 침투하며 심각한 위협으로 부상했다. 이스라엘 보안업체 드림 리서치는 지난 26일 발표한 보고서를 통해 공격 대상 목록과 실행 기록, 사용된 프로그램 등을 정밀 분석한 결과 이 같은 침해 정황을 확인했다고 밝혔다. 이번 공격으로 방화벽 24대를 비롯해 중앙 관리 서버 1대 등 총 25대의 장비에서 최고 관리자(root) 권한이 탈취되었다. 특히 한국도 공격 대상에 포함된 것으로 분석되어 보안 업계에서는 PHP 결함이 조직의 핵심 시스템 침해로 직결될 수 있다는 우려가 현실화되고 있다고 지적했다. 다만 국내 시스템의 실제 피해 여부는 아직 확인되지 않았다.
1만 9천 개 장비 탐색 후 한국·미국 등 정밀 타격
웹사이트의 로그인, 결제, 검색 기능을 처리하는 PHP의 중대한 보안 결함 두 건이 지난 21일 공개된 이후, 이를 이용한 실제 침해 사례가 잇따르고 있다. 드림의 분석에 따르면 공격자는 인터넷상에 관리 화면이 노출된 특정 업체의 네트워크 방화벽 약 1만 9000개를 먼저 탐색했다. 이후 한국과 미국, 일본, 대만 등의 장비 240대를 공격 대상으로 압축한 뒤, 지난 23일부터 24일 사이에 PHP를 활용해 명령을 실행했다. 이어 리눅스 운영체제의 취약점까지 결합해 권한을 상승시킴으로써 방화벽 24대를 완전히 장악했다. 보안상의 이유로 피해를 입은 제조사와 제품 버전은 공개되지 않았으나, 공격자는 운영체제의 설정을 변경하고 정보를 삭제할 수 있는 최고 관리자 권한을 확보한 것으로 드러났다.
내부 서버 장악 및 계정·비밀키 유출 확인
공격은 단순 장비 탈취를 넘어 내부망 확산으로 이어졌다. 미국 정부 관련 기관의 방화벽 2대가 침해되었으며, 공격자는 이 중 한 대를 교두보 삼아 외부 접근이 불가능한 중앙 관리 서버까지 침입했다. 여러 방화벽을 통합 관리하는 서버가 뚫리면서 다른 장비들의 설정과 인증 정보까지 접근 가능한 상태가 된 것이다. 이 과정에서 내부 서버의 위치와 역할, VPN 접속 지점, 그리고 시스템 로그인 권한을 가진 사용자 및 그룹의 전체 리스트가 확보되었다. 또한 인증용 비밀키와 서비스 계정의 비밀번호까지 유출된 것으로 확인되었다. 다만 모든 직원의 자료가 유출된 것은 아니며, 추가 계정 탈취나 재침입을 위한 계정 생성 등 후속 공격의 흔적은 아직 발견되지 않아 전체 피해 규모를 확정하기는 어렵다. 침해된 나머지 22대의 방화벽에는 여전히 '웹셸'이 남아 있어 추가 공격 가능성도 배제할 수 없다.
중국 연계 가능성 및 AI 도구 활용 정황
드림은 이번 공격의 배후로 중국과의 연계 가능성을 제기했다. 공격 과정에서 중국의 인터넷 자산 검색 서비스인 '포파(Fofa)'와 중국산 네트워크 도구가 사용되었으며, 공격 인프라의 시간대가 중국 표준시와 일치하고 중국어 지시문이 발견된 점이 근거로 제시되었다. 다만 특정 조직의 소행으로 단정 짓지는 않았다. 또한 공격자의 환경에서 코딩 도구인 '클로드 코드'가 설치되어 있었으며, '에이아이스캔(AIScan)' 설정에는 딥시크(DeepSeek)와 키미(Kimi) 모델을 사용하기 위한 구성이 포함되어 있었다. 드림은 약 40개의 공격용 프로그램 코드 구조와 주석 방식이 일관된 점을 들어 AI를 활용한 개발 가능성을 언급했으나, AI가 코드를 직접 작성했거나 전 과정을 자율적으로 수행했다는 명확한 증거는 발견되지 않았다고 덧붙였다.