[화담일보=조채린기자] 북한 해킹조직 라자루스와 연계됐을 가능성이 높은 해커들이 국내 서버 30곳을 공격 대상으로 삼았다는 사이버 보안기업의 분석이 나왔다. 웹 서버에 쓰이는 PHP의 취약점을 이용해 금융거래·가상자산 관련 정보를 빼내고 정부 기관의 기밀정보를 수집하려 했다는 내용이다.
동아일보의 11월 15일 보도에 따르면 글로벌 보안기업 사이퍼마(CYFIRMA)는 최근 보고서에서 해커들의 비공개 대화록과 공격 대상 목록을 분석해 이 같은 활동을 파악했다고 밝혔다. 사이퍼마는 확보한 자료를 근거로 이번 공격이 북한 정찰총국과 연계된 것으로 알려진 라자루스와 관련됐을 가능성이 높다고 진단했다.
해커들이 공격 대상으로 추린 서버는 한국을 포함한 10개국의 216곳이다. 미국이 49곳으로 가장 많았고 일본 47곳, 인도 31곳, 한국 30곳 순이었다. 아시아태평양 지역 서버는 148곳으로 전체의 68.5%를 차지했다.
사이퍼마가 확보한 대화록에서 한 해커는 10월 27일 한국과 일본, 미국, 태국, 인도네시아, 인도의 일부 인터넷주소(IP) 대역을 유망한 대상으로 언급했다. 해커들은 각국 서버의 보안 상태를 살펴 최신 보안 패치가 적용되지 않은 곳을 골랐다. 정부 기관과 은행을 우선 겨냥한 뒤 물류업체와 온라인 거래 플랫폼으로 범위를 넓혔다. 금융거래·가상자산 관련 정보 탈취와 정부 기밀 수집을 노린 것으로 분석됐다.
공격에는 10월 국내외에서 긴급 보안 경보가 발령됐던 ‘PHP2Shell’ 취약점 2개가 이용됐다. 웹 서버용 프로그래밍 언어인 PHP의 결함으로, 로그인하지 않은 외부 공격자도 서버에서 악성 명령을 실행할 수 있는 문제다. 위험도는 10점 만점에 9.2점으로 제시됐다.
취약점 관련 정보가 10월 20일 유출되자 PHP 개발진은 다음 날 긴급 보안 패치를 배포했다. 과학기술정보통신부도 같은 달 22일 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올리고 긴급 업데이트를 당부했다. 사이퍼마의 분석에 따르면 해커들은 이후에도 패치가 적용되지 않은 서버를 집중적으로 찾아 공격을 시도했다.
해커들은 미리 감염시킨 서버 21곳을 거점으로 다른 서버에 악성 스크립트인 웹셸을 설치하려 했다. 보안 시스템의 탐지를 피하려고 공격 속도를 늦추고 거점 서버를 번갈아 사용했다. 10월 28일 한 해커는 “공격 거점을 천천히 교체하라. 어느 곳이든 주의를 끌기 시작하면 즉시 제외하라”고 지시했다. 인공지능(AI) 모델로 공개된 공격 코드를 분석해 효과적인 수법을 골라낸 정황도 드러났다.
해커들은 웹셸을 확보한 뒤 관리자 계정정보와 데이터베이스 접속 정보를 탈취하고 내부망의 다른 서버로 침투하려 했다. 대화록에는 공격 대상이 기존 216곳에서 581곳으로 확대됐다는 내용도 담겼다.
사이퍼마는 추가 피해를 막기 위해 국내 공격 대상 30곳의 IP 마지막 자리를 가려 공개했다. 또 보안 패치는 취약점을 막을 수 있지만 이미 발생한 침해까지 해결하지는 못한다며, PHP 보안 업데이트와 서버 프로세스 재시작, 기존 침해 여부 점검을 권고했다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}