북한 연계 해킹조직 '라자루스'가 PHP 웹 서버의 치명적 보안 취약점을 악용해 국내 정부·금융·통신 등 핵심 산업군 서버 30곳을 공격 표적으로 삼은 정황이 포착됐다.
싱가포르 위협 인텔리전스 기업 사이퍼마는 최근 공개한 'PHP2Shell 취약점 악용 실태' 보고서를 통해 북한 정찰총국 연계 해킹조직이 한국을 포함한 10개국 216개 노출 서버를 겨냥한 사이버 공격을 준비·진행했다고 밝혔다.
사이퍼마가 입수한 해커들의 폐쇄형 온라인 대화록에 따르면 공격자들은 지난달 28일 공격 대상을 물색하며 “한국, 일본, 미국, 태국, 인도네시아, 인도의 일부 인터넷주소(IP) 대역이 꽤 유망해 보인다”고 언급했다.
이들은 단순 무작위 침투가 아닌 금전 탈취와 첩보 수집을 목적으로 정부, 금융, 통신, 핵심 인프라, 물류·항공, 제조, 온라인 거래 플랫폼 등 7대 산업군의 PHP 기반 웹 서버를 우선 표적으로 지목했다.
해커들은 사전 감염시킨 21개 스캔 노드 IP를 거점으로 인터넷 스캔 작업을 벌여 10개국에서 외부에 노출된 웹 서버 216곳을 1차 표적으로 추렸으며, 이 가운데 한국 소재 서버와 도메인은 30곳으로 분석됐다.
나아가 해커들은 침투한 서버에서 관리자 자격 증명을 탈취한 뒤 내부망으로 '수평 이동'을 시도해 전체 공격 범위를 581개 호스트로 확대한 것으로 파악됐다.
공격에 악용된 취약점은 윈도우 환경에서 구동되는 PHP 코어의 원격 코드 실행(RCE) 결함(CVE-2026-109618, CVE-2026-109619)이다. 공격자는 인증 없이 원격에서 악성 스크립트(웹셸)를 실행해 서버 제어권을 장악하고 관리자 자격 증명을 탈취하는 수법을 썼다.
해당 취약점은 전 세계 웹사이트의 상당수가 구동 기반으로 삼는 PHP 코어 자체의 결함인 만큼, 패치가 지연될 경우 서버 제어권이 넘어갈 위험이 큰 것으로 평가된다.
사이퍼마는 “웹 애플리케이션 업데이트만으로는 방어가 불가능하다”며 “PHP 코어 자체를 최신 버전으로 패치한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야 침투를 차단할 수 있다”고 권고했다.
박진형 기자 jin@etnews.com
