사진=챗GPT
사진=챗GPT
북한 정찰총국과 연계된 것으로 알려진 해킹조직 '라자루스'가 한국의 정부·금융·통신 등 주요 산업군을 겨냥해 사이버 공격을 시도한 정황이 글로벌 보안기업 보고서를 통해 공개됐다.

특히 해커들이 폐쇄형 온라인 채널에서 한국 인터넷주소(IP) 대역을 유망한 공격 대상으로 직접 지목한 가운데 실제 표적 목록에서도 국내 서버와 도메인 30곳이 확인됐다.

15일 정보통신기술 업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 발간한 'PHP2Shell 취약점 악용 실태' 업데이트 보고서에서 이러한 내용을 공개했다.

보고서에 담긴 다크웹 내 해커들의 대화록을 보면 이들은 지난달 28일 공격 대상을 물색하는 과정에서 한국과 일본, 미국, 태국, 인도네시아, 인도 일부 IP 대역이 유망해 보인다고 언급했다.

사이퍼마는 이들의 활동이 단순한 무작위 해킹보다 금융 탈취와 첩보 수집을 목적으로 한 표적형 공격인 것으로 분석했다.

공격 대상은 정부기관과 은행·금융기관, 통신, 핵심 인프라, 물류·항공, 제조, 온라인 거래 플랫폼 등 7개 주요 산업군으로 파악됐다.

이들은 해당 산업군에서 사용 중인 PHP 기반 웹 서버를 우선 공격 대상으로 삼고 침투를 논의한 것으로 전해진다.

해커들은 이후 유망하다고 판단한 국가의 IP 대역에 스캔 노드를 추가 투입해 공격 범위를 넓힌 것으로 분석됐다.

사이퍼마가 확보한 원본 표적 리스트에는 10개국의 노출 서버 216곳이 포함됐고, 이중 한국 소재 서버와 도메인은 모두 30곳으로 확인됐다. 이는 아시아·태평양 지역에서 일본과 미국 등에 이어 상위권에 해당한다.

공격에는 윈도우 환경에서 구동되는 PHP 코어의 원격 코드 실행 취약점 두 건이 악용된 것으로 분석됐다.

사이퍼마는 공격자들이 사전에 감염시킨 21개의 스캔 노드 IP를 거점으로 삼아 표적 서버에 웹셸을 배포하려 했다고 설명했다.

이후 관리자 자격증명을 탈취하고 내부망에서 수평 이동을 시도하면서 전체 표적을 581개 호스트로 확대한 것으로 파악됐다.

사이퍼마는 2차 피해를 막기 위해 보고서에 공개한 국내 표적 30곳의 IP 주소 마지막 자리를 가렸다.

이번 공격이 웹 애플리케이션이 아닌 PHP 런타임 자체의 취약점을 노린 것이라고 사이퍼마는 설명했다.

이에 따라 단순히 웹사이트 응용프로그램만 업데이트해서는 방어가 어렵고, PHP 코어 자체를 패치한 뒤 관련 웹 프로세스를 완전히 재시작해야 침투 가능성을 줄일 수 있다고 밝혔다.

고정삼 한경닷컴 기자 jsk@hankyung.com