北 라자루스 그룹 생태계 공격자, 10개국 216곳 타깃
"금전 탈취, 정부기관 대상 첩보 활동이 가장 우려돼"
[서울=뉴시스. 15일 글로벌 보안기업 사이퍼마(CYFIRMA)가 지난 4일 공개한 'PHP투셸 취약점의 실제 공격 악용 상황과 피해 위험 분석 보고서'에 따르면, 라자루스 그룹 생태계에 속한 공격자는 지난달 25일부터 29일까지 PHP투셸을 악용해 서버 581대를 공격했다고 주장했다. (사진=사이퍼마 제공) 2026.11.15. [email protected] *재판매 및 DB 금지
[서울=뉴시스]박은비 기자 = 북한 해커조직 '라자루스'가 프로그래밍 언어 'PHP투셸(PHP2Shell)' 취약점을 악용해 국내 서버 30곳을 겨냥한 것으로 나타났다. 다만, 내부시스템 침입 등 공격 성공 여부는 확인되지 않았다.
15일 글로벌 보안기업 사이퍼마(CYFIRMA)가 지난 4일 공개한 'PHP투셸 취약점의 실제 공격 악용 상황과 피해 위험 분석 보고서'에 따르면, 라자루스 그룹 생태계에 속한 공격자는 지난달 25일부터 29일까지 PHP투셸을 악용해 서버 581대를 공격했다고 주장했다.
이 중에서 사이퍼마가 실제 원본 목록을 확인한 건 최초 공격 대상 10개국 216대다. 국가별로 보면 미국(49대), 일본(47대), 인도(31대), 한국(30대), 태국(16대), 아랍에미리트(14대), 인도네시아(10대), 호주(10대), 사우디아라비아(5대), 싱가포르(4대) 순이었다.
확보된 목록에 언급된 분야는 정부기관, 금융, 통신, 인프라 제공업체 등이다. 이전 버전에서는 물류, 항공, 제조, 무역, 온라인 거래 플랫폼도 언급됐고, 전체 목록의 68.5%가 아시아·태평양 지역에 집중됐다.
사이퍼마는 비공개 인적정보 모니터링 활동을 통해 비공개 채널에서 공격자들의 계획을 포착했고, 대부분의 표적 서버가 공격받기 전에 이 정보를 확보했다.
사이퍼마는 공격자들이 라자루스 그룹 생태계에 속한 북한 연계 행위자라고 평가했다. 이에 대한 신뢰도는 보통 수준보다 상향된 높은 수준이다.
다만 공격자의 표적이 됐다는 뜻이지 실제 침입에 성공했다는 의미는 아니다. 공격자는 옛 버전 PHP를 사용하는 서버를 공격 대상으로 선정했다.
또 이번에 공개한 공격 대상 내역은 특정 시점의 목록이다. 공격자들이 이후 대상 범위를 더 확대했다고 주장하고 있기 때문에 정부기관과 금융권을 비롯한 우선 공격 대상 기업은 옛 버전 PHP를 사용할 경우 공격 범위에 포함됐다고 생각하고 대응해야 한다고 조언했다.
사이퍼마는 이번 취약점과 관련 완전한 대응책은 패치 밖에 없다고 보고 있다.
사이퍼마는 공격자가 인터넷에 공개된 PHP에서 인증 없이 원격 코드를 실행했을 때 예상되는 현실적인 피해로 웹셸(Web Shell·웹 기반 원격 명령 실행 도구) 설치, 자격 증명 및 설정 정보 탈취, 데이터 유출, 가상자산 채굴, 랜섬웨어 공격을 위한 사전 작업, 내부 네트워크로의 횡적 이동 등이 가능하다고 내다봤다.
특히 "라자루스 관련 가장 우려되는 피해는 금전 탈취와 정부기관 호스트를 대상으로 한 첩보 활동"이라며 "심각도는 치명적이며 대응은 즉시 이뤄져야 한다"고 강조했다.
◎공감언론 뉴시스 [email protected]
