취약점 공개 나흘 전부터 공격 시도 포착
美 연방기관 긴급 패치…한국도 공격 대상

해커들이 PHP 보안 취약점을 이용해 방화벽 24대의 최고 관리자 권한을 빼앗고 미국 정부 관련 기관의 내부 서버까지 침투한 정황이 나왔다. 이스라엘 보안업체 드림 리서치는 공격자들이 인터넷에 노출된 방화벽을 통해 내부망에 접근한 것으로 분석했다. 공격 대상에는 한국과 미국, 일본, 대만의 보안 장비가 포함됐다.

29일 보안업계에 따르면, 이스라엘 사이버보안 기업 드림(Dream)의 연구조직 드림 리서치는 최근 공개한 보고서에서 PHP 취약점을 악용한 공격으로 방화벽 24대와 내부 관리 서버 1대 등 총 25대의 최고 관리자 권한이 탈취된 정황을 발견했다고 밝혔다. 연구진은 공격자가 사용한 프로그램과 접속 기록 등을 확보해 지난 23~24일 이뤄진 침투 과정을 추적했다.

보고서에 따르면 공격자는 인터넷에 노출된 방화벽 약 1만9000대를 탐색한 뒤 한국과 미국, 일본, 대만에 있는 장비 240대를 공격 대상으로 추렸다. 이 가운데 24대에서 최고 관리자 권한을 탈취한 기록이 발견됐다. 공격에는 지난 21일 공개된 PHP의 원격 코드 실행 취약점 2건과 리눅스 운영체제의 권한 상승 취약점이 함께 이용된 것으로 드림 리서치는 보고 있다.

특히 미국 정부 관련 기관으로 추정되는 조직에서는 방화벽 2대에 이어 내부 관리 서버 1대까지 공격받은 흔적이 발견됐다. 드림 리서치는 공격자가 방화벽을 통해 내부 네트워크에 접근한 뒤 중앙 관리 서버의 최고 관리자 권한을 확보했다고 설명했다. 해당 서버는 조직 내 여러 방화벽의 설정과 접근 권한을 통합 관리하는 시스템이다.

연구진이 확보한 기록에는 내부 사용자와 그룹 목록을 수집하고 계정 인증정보를 복호화한 흔적도 담겼다. 공격자는 확보한 정보를 이용해 다른 계정의 비밀번호를 알아내거나 새로운 계정을 생성하려는 시도까지 벌인 것으로 파악됐다.

드림 리서치는 보고서에서 “외부에 노출된 관리 인터페이스가 조직의 인증 체계로 침입하는 통로가 될 수 있다"고 지적했다. 방화벽 관리 시스템의 취약점이 내부 계정과 네트워크 전체를 위협하는 공격 경로로 이용될 수 있다는 것이다.

◇ 공개 나흘 전부터 공격…美 정부 긴급 대응

이번 PHP 취약점은 공식 발표 이전부터 공격에 악용되고 있었다. 아마존웹서비스(AWS)의 위협정보팀은 지난 17일 관련 취약점을 이용한 공격 시도를 처음 포착했다. PHP 개발진이 보안 패치를 공개한 21일보다 나흘 앞선 시점이다. 취약점 공개 당일에는 공격에 사용할 수 있는 프로그램이 인터넷에 등장했고, 이후 여러 공격자의 시도가 잇따랐다.

CJ 모지스 아마존 위협정보 책임자는 지난 21일 “인터넷에 노출된 시스템의 치명적인 취약점은 대응 시간을 며칠이 아닌 몇 시간 단위로 계산해야 한다"고 강조했다. 그는 인공지능(AI)을 활용한 취약점 분석이 확산하면서 보안 패치 공개부터 실제 공격 도구가 등장하기까지 걸리는 시간이 점점 짧아지고 있다고 경고했다.

미국 정부도 긴급 대응에 나섰다. 미국 사이버안보·인프라보안국(CISA)은 지난 26일 PHP 취약점 2건을 실제 공격에 악용된 취약점 목록에 추가하고, 연방 민간기관에 29일까지 보안 조치를 완료하도록 요구했다. 통상적인 업데이트 일정 대신 사흘의 대응 기간을 부여한 것이다.

PHP는 웹사이트의 로그인과 게시판, 데이터 처리 등에 널리 쓰이는 프로그래밍 언어다. 이번에 발견된 취약점은 별도의 인증 없이 서버에서 명령을 실행할 수 있다는 점에서 위험성이 크다. 특히 PHP가 설치된 네트워크 장비의 관리 시스템까지 공격 대상이 될 수 있어 일반 웹사이트를 넘어 기업과 기관의 내부망 보안에도 영향을 줄 수 있다.

한국인터넷진흥원(KISA)도 지난 22일 관련 보안 업데이트를 권고했다. PHP 개발진은 취약점을 수정한 버전을 배포했으며, AWS는 보안 장비의 차단 규칙만으로는 위험을 완전히 제거할 수 없다며 업데이트 적용을 강조했다.

◇ AI 동원한 방화벽 공격 확산…한국도 표적

생성형 AI를 활용한 방화벽 해킹은 최근 더욱 조직화되는 추세다. AWS는 지난 2월 러시아어를 사용하는 해킹 세력이 생성형 AI 서비스를 활용해 세계 55개국 이상에서 포티넷의 방화벽 장비 600대 이상을 침해한 사례를 공개했다. 당시 공격자는 AI를 이용해 장비의 취약한 설정을 찾아내고 침투 과정을 자동화한 것으로 나타났다.

이번 PHP 공격에서도 AI 도구를 활용한 정황이 발견됐다. 드림 리서치가 확보한 공격 환경에는 앤트로픽의 AI 코딩 도구 '클로드 코드'가 설치돼 있었고, 중국 AI 모델 '딥시크'와 '키미' 관련 설정도 남아 있었다. 연구진은 약 40개의 공격용 스크립트에서 나타난 코드 작성 방식 등을 근거로 AI 활용 가능성을 제시했다.

공격 배후로는 중국과 연계된 해킹 세력이 거론된다. 드림 리서치는 공격 대상이 한국과 미국, 일본, 대만에 집중됐고 중국의 인터넷 자산 검색 엔진 '포파(FOFA)'가 사용된 점에 주목했다. 공격 환경에서는 중국어 명령문과 중국 표준시 사용 흔적도 발견됐다. 다만 특정 해킹 조직의 소행이나 실제 AI 활용 여부를 입증하는 자료는 제시되지 않았다.

한국도 공격자가 선정한 방화벽 240대에 포함됐다. 실제 침해된 것으로 분류된 방화벽 24대 가운데 국내 장비가 있는지는 공개되지 않았다.

드림 리서치는 미국 정부 관련 기관의 방화벽 2대를 제외한 나머지 22대에서 웹셸 설치 흔적을 발견했다고 밝혔다. 웹셸은 공격자가 외부에서 서버에 다시 접속해 명령을 실행할 수 있도록 하는 프로그램이다. 연구진은 해당 장비에서 추가 공격 활동은 발견하지 못했으나, 웹셸이 남아 있다면 공격자가 다시 접근할 수 있다고 설명했다.

AWS는 이번 PHP 취약점과 관련해 보안 업데이트만이 두 취약점을 모두 해결할 수 있는 방법이라고 강조했다. 드림 리서치 역시 공격 대상이 된 방화벽 제조사에 관련 내용을 통보하고 보안 조치를 권고했다.

김나현 기자 knh@ekn.kr