PHP 구멍 공개 이틀 만에 방화벽 240대 공격…한국도 표적

ⓒ 뉴스1 중국과 연계된 것으로 의심되는 해커가 한국과 미국, 일본, 대만의 방화벽 240대를 자동 공격해 서버 25대의 최고 관리자 권한을 탈취한 정황이 드러났다. 이스라엘 보안업체 드림이 26일(현지 시간) 공개한 보고서에 따르면 공격자는 인터넷에 노출된 기기를 찾아주는 중국 검색엔진 ‘포파(FOFA)’로 방화벽 1만9000대를 찾아냈다. 이 가운데 한국과 미국, 일본, 대만의 방화벽 240대를 골라 자동 실행 프로그램(스크립트)으로 일괄 공격했다. PHP2Shell로 서버에 명령을 내릴 권한을 얻고 운영체제(리눅스)의 다른 취약점으로 최고 관리자 권한까지 얻는 데 한 대당 15분이 걸리지 않았다. 미국 정부 관련 기관에서는 내부 관리 서버까지 뚫렸다.빠른 공격 과정에서는 인공지능(AI) 도구를 활용한 정황도 발견됐다. 공격에 사용된 서버에는 앤스로픽의 AI 코딩 도구 ‘클로드 코드’가 설치돼 있었고, AI 기반 공격 도구 ‘aiscan’에는 중국 AI 모델 딥시크와 키미를 사용하기 위한 설정이 포함돼 있었다. 실행 기록에서는 중국어 명령문(프롬프트)도 확인됐다. 드림은 공격 스크립트 40여 개의 구조와 주석 작성 방식이 일관된 점을 들어 AI가 공격 도구 개발을 거든 것으로 추정했다. 해킹이 급증하는 가운데 PHP 취약점까지 공개되면서 피해 확산 가능성이 커지고 있다. 국내 보안업체 안랩이 인터넷 자산 검색 서비스를 통해 조사한 결과 취약한 버전의 PHP가 설치된 것으로 보이는 국내 서버는 약 11만 건으로, 세계 6위 수준이었다. 프랑스 보안업체 시벨앙젤의 조사에서는 PHP 버전이 확인된 국내 서버의 82%가 공식 보안 업데이트 지원이 종료된 구버전을 사용하고 있었다. 이들 구버전은 새로운 취약점이 발견돼도 공식 수정판을 제공받기 어렵다.한국을 주로 노리는 갈취범도 포착됐다. 국내 보안업체 S2W가 28일 낸 보고서에 따르면 데이터 갈취범 ‘하이즈해커(hize_hacker)’는 지난해 7월 병원을 시작으로 부동산 시험 교육기관, 항공기 부품 제조업체, 법무법인, 대부업체 2곳, 제약회사 등 국내 7곳을 표적으로 삼았다. 해커는 탈취했다고 주장하는 기업 내부 자료를 다크웹과 자체 유출 사이트 ‘유루즈(ULOSE)’에 게시하고 한국어와 영어로 판매 글을 올렸다. 활동 시간이 한국 시간 기준 오후 6시부터 자정 사이에 몰려 S2W는 해당 갈취범이 국내에서 활동하고 있을 가능성이 높다고 봤다.전문가들은 AI로 ...