15일 북한 연계 해커조직 라자루스가 프로그래밍 언어의 일종인 PHP투셸 취약점을 이용해 한국 서버 30곳을 공격 목표로 삼았다는 분석 결과가 나왔다.
글로벌 보안기업 사이퍼마(CYFIRMA)가 지난 4일 펴낸 “PHP투셸 취약점의 실제 공격 악용 상황과 피해 위험 분석 보고서”에 따르면 라자루스 진영의 공격자는 지난달 25일부터 29일 사이 해당 취약점으로 서버 581대를 공격했다고 주장했다. 사이퍼마가 실제 원본 명단을 확보해 교차 검증한 대상은 10개국의 서버 216대다.
국가별 표적 서버 수는 미국이 49대로 가장 많았고 일본 47대, 인도 31대, 한국 30대 순이었다. 태국 16대, 아랍에미리트 14대, 인도네시아와 호주 각 10대, 사우디아라비아 5대, 싱가포르 4대가 뒤를 이었다. 전체 대상의 68.5%는 아시아·태평양 지역에 집중됐다. 공격 표적에는 정부기관과 금융, 통신, 인프라 제공업체가 포함됐으며 이전 목록에서는 물류, 항공, 제조, 무역, 온라인 거래 플랫폼도 언급됐다.
사이퍼마는 비공개 인적정보 모니터링 과정에서 공격 계획을 사전 포착해 대부분의 서버가 타격을 받기 전 관련 정보를 파악했다. 공격 배후는 라자루스에 속한 북한 연계 행위자로 평가했으며 신뢰도는 높은 수준으로 제시했다. 다만 이번 내역은 표적으로 지정된 사실을 나타낼 뿐 실제 내부망 침입 성공을 뜻하는 것은 아니라고 선을 그었다.
공격자들은 구형 버전의 PHP를 적용 중인 시스템을 골라 표적화했다. 사이퍼마는 인증을 거치지 않은 원격 코드 실행이 일어날 경우 웹셸 설치와 자격 증명 탈취, 가상자산 채굴, 데이터 유출, 내부 네트워크 횡적 이동 등이 발생할 수 있다고 짚었다. 이 같은 취약점의 완전한 해결책으로는 보안 패치를 제시했다.
사이퍼마는 “라자루스 관련 가장 우려되는 피해는 금전 탈취와 정부기관 호스트를 대상으로 한 첩보 활동”이라며 “심각도는 치명적이며 대응은 즉시 이뤄져야 한다”고 밝혔다.
