"한국 IP 대역 유망"…북한 라자루스, 국내 서버 30곳 노렸다

불편하시다면 뒤로 가기를 눌러주세요

해커 대화록서 한국 직접 지목…사이퍼마 보고서 공개

정부·금융·통신 등 7대 산업군 겨냥…PHP 취약점 악용

(서울=연합뉴스) 오지은 기자 = 북한 정찰총국과 연계된 것으로 알려진 해킹조직 '라자루스'(Lazarus)가 한국의 정부·금융·통신 등 주요 산업 분야를 겨냥해 사이버 공격을 시도한 정황이 글로벌 보안기업의 보고서에서 공개됐다.

라자루스는 금융기관을 상대로 한 금전 탈취와 정부·기업의 기밀정보 수집 등을 목적으로 활동해온 북한 연계 해킹조직으로, 이번에는 웹 서버에 사용되는 프로그래밍 언어 PHP의 보안 취약점을 악용한 것으로 분석됐다.

특히 해커들이 폐쇄형 온라인 채널에서 한국의 인터넷주소(IP) 대역을 유망한 공격 대상으로 직접 지목한 가운데 실제 공격 표적 목록에서도 국내 서버와 도메인 30곳이 확인됐다.

◇ 해커 대화록서 "한국 IP 대역 유망"…국내 서버 30곳 표적

15일 정보통신기술(ICT)업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 발간한 'PHP2Shell 취약점 악용 실태' 업데이트 보고서에서 이 같은 내용을 공개했다.

보고서에 수록된 다크웹 내 해커 대화록을 보면 이들의 구체적인 공격 의도와 표적이 드러난다.

해커들은 지난달 28일 공격 대상을 물색하고 스캔 결과를 공유하는 과정에서 "한국, 일본, 미국, 태국, 인도네시아, 인도의 일부 IP 대역들이 꽤 유망해 보인다"고 언급했다.

특히 이들은 단순 무작위 해킹이 아니라 명확한 '금융 탈취와 첩보 수집'을 목적으로 움직인 것으로 분석됐다.

사이퍼마는 해커들이 타깃 국가의 정부 기관, 은행과 금융기관, 통신, 핵심 인프라, 물류 및 항공, 제조, 온라인 거래 플랫폼 등 주요 7대 산업군에서 사용 중인 PHP 기반 웹 서버를 우선 공격 대상으로 삼고 침투를 논의했다고 전했다.

해커들은 해당 대화 직후 유망하다고 판단한 국가의 IP 대역에 스캔 노드를 추가 투입해 범행을 본격화했다.

사이퍼마가 확보한 해커들의 원본 표적 리스트(10개국 216개 노출 서버)를 분석한 결과, 한국 소재 서버와 도메인은 총 30곳으로 최종 확인됐다.

이는 아시아·태평양 지역에서 일본, 미국 등에 이어 최상위권에 해당하는 규모다.

◇ 한국 겨냥한 PHP 취약점 공격…웹셸 침투·내부망 확산 시도

공격자들은 윈도우 운영체제 환경에서 구동되는 PHP 코어의 원격 코드 실행(RCE) 취약점(CVE-2026-109618, CVE-2026-109619)을 악용했다.

사이퍼마 분석 결과, 북한 운영자들은 사전에 감염시킨 21개의 스캔 노드 IP를 거점으로 삼아 표적 서버에 웹셸(악성 스크립트) 배포를 시도했다.

이후 관리자 자격 증명을 탈취하고 내부망 수평 이동을 진행해 전체 타깃을 581개 호스트로 확대한 것으로 파악됐다.

사이퍼마는 피해 기관의 2차 침해를 막기 위해 보고서에 한국 내 표적 30곳의 IP 주소 마지막 네 번째 자리를 마스킹 처리해 공개했다.

사이퍼마는 이번 공격에 대해 PHP 런타임 자체의 취약점이라고 명시했다.

사이퍼마 측은 보고서를 통해 "단순히 웹사이트 응용프로그램을 업데이트하는 것만으로는 방어할 수 없다"며 "시스템 관리자가 PHP 코어 자체를 패치한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야만 웹셸 침투를 차단할 수 있다"고 권고했다.

built@yna.co.kr

인기상품 확인하고 계속 읽어보세요!

5

원치 않을 경우 뒤로가기를 눌러주세요.