(서울=뉴스1) 한수민 기자 = 외부 침입을 막아야 할 방화벽이 오히려 해커의 내부망 침투 통로가 됐다. 한국과 미국, 일본, 대만에 걸쳐 서버 25대의 최고 관리자 권한이 탈취된 사이버 공격에서 미국 정부 관련 기관의 내부 관리 서버까지 뚫린 것으로 나타났다. 공격자는 내부 계정 비밀번호를 확보하고 사용자·그룹 정보를 조회한 데 이어 추가 계정 탈취까지 시도했다.
이스라엘 사이버보안 기업 드림리서치는 지난 26일(현지시간) PHP 취약점 'PHP2Shell'과 리눅스 커널 권한 상승 취약점 'Fragnesia'(CVE-2026-46300)를 연계한 공격을 분석한 보고서를 공개했다.
공격자는 인터넷에 노출된 방화벽 약 1만 9000대를 탐색하고, 이 가운데 약 5000대에서 응답과 소프트웨어 버전 정보를 확인했다. 이후 한국·미국·일본·대만에 위치하면서 공격에 적합한 버전을 사용하는 방화벽 240대를 추렸다.
자동화된 공격을 통해 이 중 방화벽 24대에서 시스템 최고 관리자 권한인 '루트(root)'를 확보했다. 미국 정부 관련 기관에서는 내부 방화벽 관리 서버 1대까지 추가로 침해하면서 장악한 서버는 총 25대로 늘었다.
드림리서치는 한국을 포함한 4개국에서 서버가 침해됐다고 밝혔다. 다만 국가별 침해 장비 수와 한국 소재 기관의 추가 피해 규모는 공개되지 않았다.
방화벽 장악해 내부망 진입…"역설적으로 가장 위험한 침투 경로"
이번 공격의 핵심은 외부 침입을 차단하는 방화벽 자체가 내부 네트워크로 향하는 통로가 됐다는 점이다.
공격자는 인터넷에 노출된 방화벽 관리용 웹 서버의 PHP 취약점을 악용해 원격으로 명령을 실행했다. 이어 리눅스 커널 취약점을 연계해 최고 관리자 권한을 탈취했다. 두 취약점을 차례로 악용해 방화벽 장비 전체를 통제할 수 있는 권한을 확보한 것이다.
방화벽은 외부와 내부 네트워크 사이에서 통신을 통제하는 장비다. 관리 기능이 외부에 노출되고 장비 자체에 취약점이 존재하면 공격자가 이를 내부망 침투에 악용할 수 있다.
한 보안업계 관계자는 방화벽 관리자 권한을 탈취하면 내부망으로 향하는 보안 규칙을 무력화하거나 자신에게 유리하게 변경할 수 있다고 설명했다. 방화벽에 저장된 인증정보를 확보하거나 내부 네트워크의 구조와 접근 경로를 파악해 추가 공격에 활용할 위험도 있다는 것이다.
실제 미국 정부 관련 기관에서는 방화벽 장악이 내부망 침투로 이어졌다.
드림리서치에 따르면 공격자는 해당 기관의 경계 방화벽에서 내부 서버의 주소와 역할, 네트워크 구성 등을 파악했다. 이후 방화벽과 공격자 측 시스템을 연결하는 역방향 SSH 터널을 구축했다.
이 통로는 방화벽이 재부팅되더라도 자동으로 다시 연결되도록 설정됐다. 공격자는 이를 통해 외부에서 직접 접근할 수 없던 내부 방화벽 관리 서버에 침투했다.
내부 관리 서버는 조직 내 여러 방화벽의 설정과 인증정보, 네트워크 구성 등을 중앙에서 관리하는 시스템이다. 공격자는 이 서버에서도 최고 관리자 권한을 확보했다.
여기서 공격은 조직의 계정 인증체계로 확대됐다.
공격자는 내부 관리 서버에 저장된 LDAP 서비스 계정 비밀번호를 복호화하고, 액티브디렉터리(AD)의 사용자와 그룹 정보를 조회한 것으로 분석됐다.
LDAP는 조직 내 계정과 사용자 정보 등을 조회하는 데 쓰이는 통신 규약이다. AD는 조직 구성원의 계정과 인증, 접근 권한 등을 관리하는 시스템이다.
서비스 계정은 직원 개인이 아닌 프로그램이나 시스템이 다른 서비스와 통신할 때 사용하는 계정이다. 공격자가 이 계정의 비밀번호를 확보하면 해당 계정에 부여된 권한을 이용해 다른 내부 시스템에 접근할 위험이 있다.
AD의 사용자·그룹 정보 역시 추가 공격 대상을 찾거나 계정별 권한 관계를 파악하는 데 활용될 수 있다. 외부 침입을 차단하는 방화벽이 뚫린 데 이어 조직 내부의 계정 구조까지 공격자에게 드러난 것이다.
염흥열 순천향대 정보보호학과 교수는 "(LDAP 유출은) 조직 내부에서만 알려져야 할 정보가 해커에 의해 접근된 것으로 볼 수 있다"고 말했다.
염 교수는 AD가 인증정보를 관리하는 시스템인 만큼 관련 정보가 유출되면 사용자 사칭 등에 악용될 가능성이 있다고 우려했다.
실제 공격자는 조직 이름과 관련된 비밀번호를 여러 사용자 계정에 대입하는 공격을 시도했다. AD에 새로운 사용자 계정이나 컴퓨터 계정을 만들어 재접근 경로를 확보하려는 시도도 확인됐다.
다만 이번 시도로 실제 LDAP과 AD가 유출됐는지 여부는 불분명하다. 비밀번호 대입 공격이나 백도어 계정 생성 시도 등 일부 후속 공격이 실제로 성공했는지는 확인되지 않았다.
웹셸 남겨둔 공격자…언제 공격할지 모르는 "시한폭탄"
방화벽을 장악한 공격자가 이후에도 다시 접근할 수 있는 수단을 남겨뒀다는 점도 문제다.
드림리서치에 따르면 공격자는 최고 관리자 권한을 확보한 방화벽 24대 가운데 22대에 웹셸을 설치한 뒤 별도의 후속 공격 활동을 하지 않았다.
웹셸은 공격자가 원격으로 시스템에 명령을 실행할 수 있도록 하는 악성 프로그램이다. 취약점을 통해 장비에 침입한 뒤 웹셸을 남겨두면 최초 침입에 이용한 취약점을 수정하더라도 다시 접근하는 통로로 악용될 수 있다.
한 보안업계 관계자는 "웹셸을 설치해 두면 웹 명령을 통해 상시 제어가 가능하다"면서 "공격자가 원하는 타이밍에 언제든 다시 접속해 내부망 침투, 데이터 유출, 랜섬웨어 유포 등 본격적인 2차 피해를 일으킬 수 있는 시한폭탄과 같은 상태"라고 지적했다.
미국 정부 관련 기관에서는 웹셸뿐 아니라 별도의 내부망 연결 통로까지 구축된 것으로 분석됐다.
공격자는 장악한 방화벽에 역방향 SSH 터널을 구축하고, 장비가 재부팅된 뒤에도 해당 통로가 자동으로 복구되도록 설정했다. 이를 통해 내부 관리 서버와 인증체계에 접근했다.
드림리서치는 공격자가 방화벽에 저장된 일부 암호화 키와 장비 인증용 키도 확보했다고 분석했다.
이 때문에 PHP 취약점에 대한 보안 패치를 적용하는 것만으로 침해가 완전히 해소됐다고 보기는 어렵다.
보안 패치는 해당 취약점을 통한 새로운 침입을 막기 위한 조치다. 이미 설치된 웹셸이나 별도로 구축된 통신 경로를 자동으로 제거하지는 않는다.
염 교수는 "웹셸은 악성코드를 해커가 원격으로 실행할 수 있게 한다"며 "취약점 해소가 되더라도 해커가 계속 방화벽에 접근할 수 있다"고 설명했다.
미국 국립표준기술연구소(NIST)의 침해사고 대응 지침 역시 취약점 수정뿐 아니라 침해 범위 조사와 악성 프로그램 제거, 시스템 복구 등을 사고 대응의 주요 과정으로 제시하고 있다.
특히 최고 관리자 권한이 탈취된 장비는 웹셸 삭제에 그쳐서는 안 된다. 공격자가 계정이나 시스템 설정을 변경했는지, 별도의 재접근 통로를 남겼는지 확인해야 한다.
관리자 비밀번호와 유출된 것으로 확인된 서비스 계정의 인증정보를 변경하고, 기존 접속 세션과 비정상적인 내부망 연결도 점검할 필요가 있다.
장비의 정상 상태를 신뢰하기 어렵다면 제조사의 복구 지침에 따라 안전한 소프트웨어 이미지로 재설치하는 방안도 요구된다.
※ 저작권자 ⓒ 뉴스1코리아, 무단전재-재배포 금지