PHP 취약점 해킹 실제 벌어졌다..."한국 포함 4개국 방화벽 25대 뚫려"

이스라엘 보안업체 드림, 해킹 사례 찾아
AI 해킹 도구 흔적도 발견
"인증정보 없이 침투해 15분 만에 원격접근 통로 확보"

[파이낸셜뉴스] 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 중대 보안 취약점이 공개된 이후 실제 사이버 공격이 벌어진 정황이 드러났다. 특히 한국을 포함한 미국, 일본, 대만 등 4개 국가 서버 25대의 최고관리자 권한이 탈취된 정황도 포착됐다.

이번 공격에서는 클로드나 딥시크, 키미 등 인공지능(AI)을 활용한 흔적이 드러났고, 해커는 단 15분만에 서버에 원격으로 접근할 수 있는 통로를 확보한 것으로 나타났다.

PHP 취약점을 악용한 실제 해킹 정황이 확인되면서, 국내 공공기관과 인터넷 사이트 등 PHP 활용 서버 보안 업데이트가 시급히 이뤄져야 한다는 전문가들의 조언이 잇따르고 있다.

이스라엘 사이버보안 기업 드림(Dream)의 연구팀은 지난 26일(현지시간) 홈페이지에 공개한 보고서를 통해 PHP 취약점을 공격해 한국·미국·일본·대만에서 방화벽 25대를 침해한 해킹 사례를 공개했다. 해커는 방화벽의 소프트웨어 취약점 두 개를 연결해 인증 없이 시스템 최고 권한을 확보했다.

공격 인프라에서는 앤트로픽의 클로드 코드와 중국산 인공지능(AI) 모델을 활용한 도구도 발견됐다. 그러나 AI가 실제 공격 코드를 작성하거나 해킹을 직접 수행했다는 증거는 확인되지 않았다.

드림리서치는 "해커가 전 세계 인터넷에 노출된 특정 업체의 방화벽 약 1만9000개를 조사한 뒤, 작동 여부와 소프트웨어 버전을 분석해 240개를 공격 대상으로 추렸다"고 밝혔다. 이 중 방화벽 24대와 내부 방화벽 관리 서버 1대 등 총 25대의 침해 흔적이 확인됐다. 한국도 공격 대상 국가에 포함됐다. 다만 국내 피해 기관이나 기업의 이름과 피해 규모는 공개되지 않았다.

공격에는 PHP2Shell과 프라그네시아(Fragnesia)라는 두 가지 취약점이 사용됐다. 첫 번째 취약점을 통해 원격으로 명령을 실행하고, 두 번째 취약점으로 시스템 최고 관리자 권한을 확보하는 방식이다. 연구진은 공격자가 인증 정보 없이 침투해 지속적인 원격 접근 통로를 만드는 데 15분도 걸리지 않았다고 설명했다.

이번 공격은 외부 방화벽을 침해한 뒤 내부 정보시스템 공격으로 이어졌다는게 드림 연구팀의 설명이다. 보고서는 "해커는 미국 정부 관련 환경의 방화벽을 장악한 뒤, 내부 네트워크로 연결되는 통로를 만들고 중앙 방화벽 관리 서버에도 침투했다"고 설명했다. 이어 조직 내부의 사용자와 그룹 정보를 수집하고 계정 비밀번호를 추출했다. 비밀번호 대입과 비인가 계정 생성 등 추가 공격도 시도했지만, 실제 공격시도의 성공 여부는 확인되지 않았다.

AI 활용 흔적도 발견됐다. 연구팀은 "공격 환경에는 앤트로픽의 코딩 도구 클로드 코드가 설치돼 있었으며, AI 기반 공격 도구에는 중국의 딥시크와 키미 모델이 연결돼 있었다"며 "드림 연구팀은 약 40개 자체 스크립트의 구조와 주석 등에서 AI 지원 개발 가능성을 발견했다"고 밝혔다.
그러나 AI가 취약점 공격 코드나 후속 침투 도구를 실제로 작성했다는 직접 증거는 없다고 선을 그었다.

이에 따라 국내 보안 전문가들은 "주요 기업이나 기관의 보안 담당자는 인터넷에 노출된 관리 인터페이스를 점검하고 취약한 소프트웨어를 업데이트하는 한편, 이미 침해됐을 가능성을 고려해 계정 정보와 내부 네트워크의 이상 접근 기록까지 확인해야 한다"고 강조했다. 특히 한국이 공격 대상에 포함된 만큼 국내 피해 여부를 별도로 확인하는 작업도 필요하다는게 전문가들의 조언이다.

[email protected] 이구순 기자