PHP 취약점 공격에 서버 25대 장악 정황…한국도 표적(종합)

미국 정부 관련 시스템 3대 침해…내부 관리 서버까지 장악

한미일·대만 방화벽 240대 겨냥…중국 연계·AI 활용 정황

이미지 확대

(서울=연합뉴스) 권하영 기자 = 근 발견된 PHP 소프트웨어 취약점을 악용한 사이버 공격으로 미국 정부 관련 시스템을 포함한 서버 25대의 최고 관리자 권한이 탈취된 정황이 포착됐다.

이번 공격은 한국과 미국, 일본, 대만의 방화벽을 겨냥해 이뤄졌으며 일부 시스템에서는 방화벽을 통해 내부 관리 서버까지 침투한 것으로 분석됐다.

공격 과정에서 중국 연계가 의심되는 단서와 인공지능(AI) 도구 활용 정황도 발견됐지만, 국내 시스템의 실제 침해 여부는 아직 확인되지 않았다.

◇ 한국 등 4개국 방화벽 240대 공격…미국 정부 관련 서버까지 침해

29일 보안 업계에 따르면 이스라엘 사이버보안 기업 드림(Dream)의 보안 연구조직 드림 리서치는 23~24일 한국과 미국, 일본, 대만에 있는 방화벽을 겨냥한 대규모 사이버 공격이 벌어진 것으로 분석했다.

드림 리서치가 확보한 공격 기록에 따르면 공격자는 전 세계 방화벽 약 1만9천대를 탐색한 뒤 한국과 미국, 일본, 대만에 있는 장비 240대를 최종 공격 대상으로 선정했다.

이후 방화벽 관리 서버에 탑재된 PHP 기능의 원격 코드 실행 취약점인 'PHP2Shell'을 악용해 침투하고, 리눅스 운영체제의 권한 상승 취약점까지 연쇄적으로 활용해 방화벽 24대의 최고 관리자(root) 권한을 확보한 것으로 파악됐다.

미국 정부 관련 기관에서는 방화벽 2대가 침해된 데 이어 내부 관리 서버 1대까지 추가로 공격당하면서 전체 침해 규모가 25대로 늘어난 것으로 분석됐다.

공격자는 해당 기관의 방화벽을 통해 내부망에 침투한 뒤 중앙 관리 서버까지 장악해 관리 대상인 다른 방화벽의 설정과 인증정보 등에 접근할 수 있었던 것으로 파악됐다.

다만 실제 민감정보 유출 규모나 추가 시스템 침해 여부는 확인되지 않았다.

한국 소재 방화벽이 장악된 24대에 포함됐는지 등 국내 피해 여부도 아직 파악되지 않았다.

◇ 방화벽 뚫고 내부망까지…추가 피해 가능성도

보안 업계에서는 이번 사건의 본질이 'PHP 취약점으로 서버 25대가 장악됐다'는 피해 규모보다, 보안 장비인 방화벽의 취약점이 조직 내부의 핵심 시스템으로 침투하는 경로가 됐다는 데 있다고 본다.

드림 리서치는 "이번 공격은 외부에 노출된 관리 인터페이스가 조직의 계정·인증 관리 인프라로 침투하는 경로가 될 수 있음을 보여준다"고 지적했다.

내부 시스템을 겨냥한 서버 해킹 피해 규모도 더 늘어날 수 있다.

드림 리서치는 "공격자가 최고 관리자 권한을 확보한 방화벽 24대 중 미국 정부 관련 기관의 방화벽 2대를 제외한 22대에 웹셸을 설치한 채 추가 공격 없이 남겨뒀다"며 이들 웹셸이 여전히 활성화돼 있을 가능성을 제기했다. 공격자가 언제든 다시 접속해 내부망 침투 등 후속 공격을 시도할 수 있다는 의미다.

◇ 중국 연계 의혹에 AI 활용 정황까지

드림 리서치는 공격 과정에서 중국 해커 조직과 연계된 것으로 의심되는 여러 정황도 발견했다.

공격 대상이 한국과 미국, 일본, 대만 등 4개국에 집중된 데다 중국의 인터넷 자산 검색 엔진 'FOFA'와 중국에서 개발된 네트워크 연결 도구가 사용됐다는 것이다.

공격 인프라의 시간대가 중국 표준시와 일치하고, AI 기반 보안 플랫폼의 실행 기록에서 중국어 프롬프트가 발견된 점도 중국 연계 가능성을 뒷받침하는 정황으로 제시됐다.

공격 인프라에서는 앤트로픽의 AI 코딩 도구 '클로드 코드'가 설치된 사실이 확인됐으며, AI 기반 공격 보안 플랫폼 'aiscan'에는 중국 AI 모델 딥시크와 키미를 사용하기 위한 설정이 포함돼 있었다.

드림 리서치는 확보한 공격용 스크립트 약 40개의 코드 구조와 주석 작성 방식 등이 일관된 점을 들어 AI를 활용한 개발 가능성도 제기했다.

다만 AI가 실제 공격 코드를 직접 작성했다는 증거는 없으며, 공격 전 과정이 AI에 의해 자율적으로 수행된 것으로 보이지는 않는다고 설명했다.

kwonhy@yna.co.kr

제보는 카카오톡 okjebo <저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지> 2026년10월29일 08시38분 송고