한·미·일·대만 방화벽 240대 노렸다…미국 정부 서버까지 뚫려

최근 발견된 PHP 소프트웨어 취약점을 악용한 사이버 공격으로 미국 정부 관련 시스템을 포함한 서버 25대의 최고 관리자 권한이 탈취된 정황이 포착됐다. 이번 공격은 한국과 미국, 일본, 대만의 방화벽을 겨냥했고, 일부 시스템에서는 방화벽을 통해 내부 관리 서버까지 뚫린 것으로 분석됐다. 공격 과정에서 중국 연계가 의심되는 단서와 인공지능(AI) 도구 활용 정황도 발견됐지만, 국내 시스템의 실제 침해 여부는 아직 확인되지 않았다.



29일 보안 업계에 따르면 이스라엘 사이버보안 기업 드림(Dream)의 보안 연구조직 드림 리서치는 23~24일 4개국 방화벽을 겨냥한 대규모 공격이 벌어진 것으로 분석했다. 공격자는 전 세계 방화벽 약 1만9천대를 탐색한 뒤 이 중 240대를 최종 공격 대상으로 선정했다.

이후 방화벽 관리 서버에 탑재된 PHP 기능의 원격 코드 실행 취약점 ‘PHP2Shell’을 악용해 침투하고, 리눅스 운영체제의 권한 상승 취약점까지 연쇄적으로 활용해 방화벽 24대의 최고 관리자(root) 권한을 확보한 것으로 파악됐다.

미국 정부 관련 기관에서는 방화벽 2대가 침해된 데 이어 내부 관리 서버 1대까지 공격당해 전체 침해 규모가 25대로 늘었다. 공격자는 방화벽을 통해 내부망에 들어간 뒤 중앙 관리 서버까지 장악해, 관리 대상인 다른 방화벽의 설정과 인증정보에 접근할 수 있었던 것으로 분석됐다.

다만 실제 민감정보 유출 규모나 추가 시스템 침해 여부는 확인되지 않았고, 한국 소재 방화벽이 장악된 24대에 포함됐는지 등 국내 피해 여부도 파악되지 않았다.

보안 업계에서는 이번 사건의 본질이 서버 25대 장악이라는 피해 규모보다, 보안 장비인 방화벽의 취약점이 조직 내부 핵심 시스템으로 침투하는 경로가 됐다는 점에 있다고 본다. 드림 리서치는 "외부에 노출된 관리 인터페이스가 조직의 계정·인증 관리 인프라로 침투하는 경로가 될 수 있음을 보여준다"고 지적했다.

피해가 더 늘 가능성도 있다. 드림 리서치는 공격자가 미국 정부 관련 기관의 방화벽 2대를 제외한 22대에 웹셸을 설치한 채 추가 공격 없이 남겨뒀다며, 이들 웹셸이 여전히 활성화돼 있을 가능성을 제기했다. 공격자가 언제든 다시 접속해 후속 공격을 시도할 수 있다는 의미다.

드림 리서치는 중국 해커 조직과 연계가 의심되는 정황도 제시했다. 공격 대상이 4개국에 집중됐고, 중국의 인터넷 자산 검색 엔진 ‘FOFA’와 중국에서 개발된 네트워크 연결 도구가 사용됐으며, 공격 인프라의 시간대가 중국 표준시와 일치하고 AI 기반 보안 플랫폼 실행 기록에서 중국어 프롬프트가 발견됐다는 것이다.

공격 인프라에서는 앤트로픽의 AI 코딩 도구 '클로드 코드'가 설치된 사실이 확인됐고, AI 기반 공격 보안 플랫폼 ‘aiscan’에는 중국 AI 모델 딥시크와 키미를 사용하기 위한 설정이 포함돼 있었다. 드림 리서치는 확보한 공격용 스크립트 약 40개의 코드 구조와 주석 작성 방식 등이 일관된 점을 들어 AI를 활용한 개발 가능성도 제기했다. 다만 AI가 실제 공격 코드를 직접 작성했다는 증거는 없으며, 공격 전 과정이 AI에 의해 자율적으로 수행된 것으로 보이지는 않는다고 설명했다.

강홍민 기자 khm@hankyung.com