방화벽 뚫린 4개국…서버 25대 관리자 권한 탈취

PHP 취약점 악용한 대규모 침투 정황

최근 PHP 소프트웨어의 보안 허점을 노린 사이버 공격으로 인해 미국 정부 관련 시스템을 포함한 총 25대의 서버에서 최고 관리자 권한이 탈취된 사실이 드러났다. 이번 공격의 타깃은 한국과 미국, 일본, 대만의 방화벽이었으며, 분석 결과 일부 시스템의 경우 내부 관리 서버까지 침투가 이루어진 것으로 나타났다. 공격 과정에서 중국 조직과의 연계 의심 정황과 인공지능(AI) 도구 활용 흔적이 포착되었으나, 국내 시스템의 구체적인 피해 여부는 아직 확인되지 않은 상태다.

이스라엘 보안업체 드림의 연구 부문인 드림리서치는 지난 23일부터 24일 사이 4개국 방화벽을 겨냥한 대규모 공격이 수행되었다고 29일 발표했다. 공격 세력은 전 세계에 분포한 약 1만 9000대의 방화벽을 전수 조사한 뒤, 4개국에 걸친 240대의 장비를 최종 공격 대상으로 선정했다. 이들은 방화벽 관리 서버에 존재하는 'PHP2Shell'이라는 PHP 원격 코드 실행 취약점을 이용해 침입한 뒤, 리눅스 운영체제의 권한 상승 취약점을 연쇄적으로 활용하여 방화벽 24대에 대한 최고 관리자(root) 권한을 손에 넣었다.

내부망 장악 및 관리 서버 침투

침해 규모는 미국 정부 관련 기관의 방화벽 2대와 내부 관리 서버 1대가 추가로 공격받으면서 총 25대로 확대되었다. 공격자는 탈취한 방화벽을 교두보 삼아 내부 네트워크에 잠입한 후, 중앙 관리 서버를 장악함으로써 다른 방화벽의 설정값과 인증 정보에 접근할 수 있었던 것으로 파악된다. 다만 현재까지 민감한 정보가 어느 정도 유출되었는지, 혹은 한국의 방화벽이 장악된 서버 목록에 포함되었는지 등의 세부 사항은 밝혀지지 않았다.

보안 전문가들은 이번 사건이 단순히 피해 대수에 그치는 것이 아니라, 보안의 핵심인 방화벽이 오히려 내부 핵심 시스템으로 들어가는 통로로 전락했다는 점에 주목하고 있다. 드림리서치는 외부로 노출된 관리 인터페이스가 계정 및 인증 관리 인프라를 뚫는 경로가 될 수 있다고 경고했다. 또한, 최고 관리자 권한을 확보한 24대의 방화벽 중 미 정부 기관용 2대를 제외한 나머지 22대에는 공격자가 웹셸을 설치해 둔 상태였던 것으로 확인되었다.

중국 연계 의심 및 AI 도구 활용 흔적

공격의 실행 과정에서는 중국 해커 조직과의 연결 고리로 의심되는 여러 단서가 발견되었다. 중국의 네트워크 연결 도구와 인터넷 자산 검색 엔진인 'FOFA'가 사용되었으며, 공격 인프라의 운영 시간대가 중국 표준시와 일치한다는 점이 확인되었다. 특히 AI 보안 플랫폼의 실행 기록에서 중국어로 된 프롬프트가 발견된 점도 주요한 근거로 제시되었다.

공격 인프라 내부에서는 앤트로픽의 AI 코딩 도구인 '클로드코드'가 설치된 것이 확인되었으며, AI 기반의 공격 보안 플랫폼인 'aiscan'에는 중국의 AI 모델인 딥시크(DeepSeek)와 키미(Kimi)를 사용하는 설정이 포함되어 있었다. 드림리서치는 약 40개에 달하는 공격용 스크립트의 코드 구조와 주석 작성 방식이 매우 일관적이라는 점을 들어 AI를 활용한 개발 가능성을 제기했다. 다만 AI가 공격 코드를 직접 생성했다는 명확한 증거는 없으므로, AI가 공격의 전 과정을 스스로 수행한 자율형 공격으로 보기는 어렵다고 덧붙였다.