[서울=뉴시스]박은비 기자 = 글로벌 사이버 보안업체가 북한 해킹 조직으로 추정되는 일당이 'PHP투셸(PHP2Shell)' 보안 결함을 악용한 공격 정황을 포착했다. 다만 실제 침해 사례가 확인된 건 아니다.

24일 글로벌 사이버 보안·위협 인텔리전스 기업 사이퍼마(CYFIRMA)가 공개한 위협 경고에 따르면, 공격자가 PHP투셸의 취약점이 존재하는 공격 대상을 정찰하고 공개된 공격 코드를 활용하려고 검증하는 활동이 목격됐다.

사이퍼마는 22일(현지 시간) 사이퍼마의 비공개 소스 데이터 수집을 통해 한국어를 사용하는 공격자가 비공개 익명 네트워크(I2P) 채널을 통해 PHP투셸 취약점을 보유한 모든 웹 접근 가능 자산에 전세계적인 정찰 및 공격 계획을 수립한 사실을 확인했다. 이 활동을 해당 채널 이름을 딴 '2026년 6월 민준 캠페인'으로 추적하고 있다.

사이퍼마는 해당 운영자가 북한의 라자루스 그룹과 연관돼 있다고 의심하고 있다. 중간 수준의 신뢰도 평가 상태다.

이번 공격은 우리나라를 비롯해 미국, 일본, 태국, 인도네시아, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 전역의 정부, 은행 및 금융, 제조업, 물류 및 해운, 공항 및 항공, 온라인 거래 플랫폼, 무역 회사 및 건설 회사를 겨냥하고 있다.

이번 공격 시도에 대한 심각도는 '매우 높음'이다. 해커가 로그인하지 않고도 조작된 요청을 웹 서버에 보내 악성코드를 실행할 수 있다는 점에서 위험성이 크다. 다만 구체적인 공격 개시일이나 실제 타깃 리스트는 확인되지 않았다.

사이퍼마는 하루 뒤인 23일, 해커가 공격한 서버를 원격으로 제어하는 도구를 사용하거나 파일 업로드 과정의 정보를 악용하려는 의심 활동에서 추가 공격 출발지 IP 주소 17개를 확인했다. 하지만 그 자체만으로 이 주소들이 북한 연계 채널과 직접적으로 연결짓지는 못한다고 보고 있다.

이번 사건은 사이퍼마가 관찰한 사례 중 공격자가 정부 및 금융기관을 우선적으로 표적으로 삼아 PHP2셸을 의도적으로 공격하려는 첫 시도다.

사이퍼마는 취약한 사용자수가 많다는 점을 우려하고 있다. 현재 PHP 언어를 사용하는 웹사이트는 69.3% 가량이다. 이 중에서 PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35 미만의 버전을 사용하는 모든 조직이 취약한 상태다.

사이퍼마는 보안 패치 적용 후 재시작과 함께 지난 17일부터 위협 요소를 탐지할 필요가 있다고 조언했다. 특히 회사는 아파치(Apache) 웹 서버에서 PHP 프로그램을 직접 실행하는 환경은 공격에 노출될 위험이 커서 각별한 주의가 요구된다고 설명했다.

사이퍼마는 "라자루스 관련 해킹 조직은 금전적 이익과 정보 수집을 동시에 노리는 만큼, 서버 침입에 성공하면 다른 해커에게 접근 권한을 넘기거나 가상자산을 탈취하고, 랜섬웨어 공격을 준비하거나 계정 정보를 훔칠 수 있다"며 "장기간 시스템에 잠복하며 기밀 정보를 수집할 가능성도 있다"고 설명했다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지