PHP2Shell 연쇄 공격으로 미국 정부 관련 서버 포함 25대의 루트 권한 탈취

공격자는 PHP2Shell 원격 코드 실행과 커널 권한 상승 취약점을 결합해 미국, 일본, 대만, 한국의 서버 25대에서 루트 권한을 확보함 특정 대형 공급업체의 방화벽 소프트웨어가 표적이었으며, 인터넷에 노출된 관리 인터페이스를 통해 인증 없이 침투함 약 1만 9,000대의 장비를 발견한 뒤 국가와 버전으로 추린 240대에 자동화 공격을 수행했으며, 미국 정부 관련 환경으로 보이는 대상을 골라 내부망 침투를 이어감 역방향 터널을 통해 내부 관리 서버까지 장악하고 LDAP 자격 증명 복호화와 AD 사용자/그룹 열거에 성공함. 이후 계정 및 인증 공격의 성공 여부는 확인되지 않음 도구와 로그에는 중국 연계 및 AI 보조 개발 정황이 있지만, 특정 위협 행위자로 귀속하지 않았고 AI가 공격 코드를 작성했다는 직접 증거도 없음 발견 범위와 영향받는 환경 Dream 연구진은 10월 25일 PHP2Shell(CVE-2026-109618/CVE-2026-109619) 과 Fragnesia(CVE-2026-46300) 를 결합한 공격 도구, 표적 목록, 공격 로그, 약 40개의 맞춤형 침투 후 스크립트를 발견함 수집한 자료에는 실험실에서의 공격 도구 개발부터 미국 정부 조직 내부 Active Directory 도메인에 대한 지속적 접근까지 이어지는 과정이 담겨 있음 미국, 일본, 대만, 한국에서 서버 25대의 루트 권한을 탈취했으며, 그중 미국 정부 관련 환경의 서버 3대에 집중함 영향받는 장비는 특정 대형 공급업체의 방화벽 소프트웨어를 실행하며, 보안상 공급업체와 버전은 비공개임 공급업체에는 통보한 상태임 조사는 Dream의 자율형 사이버 연구 제품 Hero 를 활용한 선제적 위협 헌팅으로 진행함 AI 사용과 중국 연계 정황 공격 인프라에는 Claude Code가 설치돼 있었고, AI 기반 공격 보안 플랫폼 aiscan에는 DeepSeek과 Kimi가 설정돼 있었으며, 중국 정찰 플랫폼 FOFA의 API 키도 존재함 약 40개 스크립트의 코드 구조, 주석 스타일, 일관성은 AI 보조 개발 가능성을 시사하지만, 해당 도구로 익스플로잇이나 침투 후 스크립트를 작성했다는 직접 증거는 없음 이번 작전은 완전 자율형 국가 배후 공격으로 보이지 않음 중국 연계 가능성을 뒷받침하는 정황은 여럿이지만, 특정 위협 행위자로 귀속하지는 않음 표적을 미국, 일본, 대만, 한국으로 한정했으며, 이들 지역은 태평양 지역 중국 국가 연계 작전의 ...