IT 보안/해킹

한국 서버 30곳, 北 해킹조직 표적에…금융부터 정부까지 전방위 공격

이해람 기자

파이낸셜뉴스

한국 서버 30곳 표적 명단에…정부·금융 등 7대 산업군 겨냥
"한국 IP대역 유망" 해커 대화 공개…PHP 취약점 악용 정황

[파이낸셜뉴스] 해킹조직 '라자루스(Lazarus)'가 한국에 전방위적 사이버 공격을 시도한 정황이 공개됐다. 라자루스는 금융기관을 상대로 한 금전 탈취 및 정부·기업 기밀정보 수집 등을 목적으로 활동해 온 북한 연계 해킹조직이다. 프로그래밍 언어 PHP의 보안 취약점을 악용해 사이버 공격을 시도한 것으로 분석됐다.

15일 정보통신기술(ICT)업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 'PHP2Shell 취약점 악용 실태' 업데이트 보고서를 발표했다.

한국 서버, 30곳 표적됐다..해커들 "한국 등 IP대역 유망"

보고서에는 라자루스 해커들의 대화 기록이 담겨 있다. 이들은 지난달 28일 공격 대상을 물색하고 스캔 결과를 공유하는 과정에서 "한국·일본·미국·태국·인도네시아·인도 일부 IP 대역들이 꽤 유망해 보인다"고 언급했다.

해커들의 원본 표적 리스트(10개국 216개 노출 서버)를 사이퍼마가 분석한 결과 한국 소재 서버·도메인은 총 30곳인 것으로 파악됐다. 아시아·태평양 지역에서 일본·미국에 이은 규모다.

해커들은 단순 무작위성 해킹이 아니라, '금융 탈취와 첩보 수집'을 목적으로 움직였다. 사이퍼마는 라자루스 해커들이 타깃 국가의 정부·금융기관·통신·물류·항공·제조·온라인 플랫폼 등 7대 산업군에서 사용하고 있는 PHP 기반 웹 서버를 우선 공격 대상으로 삼고 침투를 논의한 것으로 파악했다. 이들은 대화 직후 일부 국가 IP 대역에 스캔 노드를 추가 투입해 범행을 시도했다.

사이퍼마 '웹셸' 침투 차단법 권고

해커들은 윈도우 운영체제 환경에서 가동되는 PHP 코어 원격코드실행(RCE) 취약점(CVE-2026-109618, CVE-2026-109619)을 악용한 것으로 보인다. 사이퍼마는 북한 운영자들이 사전에 감염시킨 21개 스캔 노드 IP를 거점 삼아 표적 서버에 악성 스크립트인 웹셸을 배포했다고 분석했다. 이후 관리자 자격 증명을 탈취하고 내부망 수평 이동을 진행해 전체 타깃을 581개 호스트로 확대했다.
피해 기관에 대한 2차 침해를 막기 위해 사이퍼마 보고서에는 한국 내 표적 30곳의 IP 주소 마지막 네번째 자리를 마스킹 처리한 뒤 공개했다. 사이퍼마에 따르면 이번 공격에 대한 PHP 런타입 자체의 취약점이다.

보고서는 "단순히 웹사이트 응용프로그램을 업데이트하는 것만으로는 방어할 수 없다"며 "시스템 관리자가 PHP 코어 자체를 패치한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야만 웹셸 침투를 차단할 수 있다"고 밝혔다.

[email protected] 이해람 기자