업계에 따르면 글로벌 위협 인텔리...'))
북한 해커조직 라자루스가 한국 소재 서버와 도메인 총 30곳에 사이버 공격을 시도한 정황이 드러났다.
15일 정보통신기술(ICT)업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 발간한 PHP2Shell 취약점 악용 실태 업데이트 보고서를 통해 북한 연계 해커가 작성한 원본 표적 목록을 입수했다고 밝혔다. 정부, 금융, 통신, 인프라 제공업체에 걸쳐 10개국의 인터넷 노출 서버 216대가 명시된 이 목록에 대해 사이퍼마는 직접 확보한 실물 자료라고 설명했다.
서버 216개 중 미국이 49개로 가장 많았다. 이어 일본(44개), 인도(31개), 한국(30개)이 뒤를 이었다. 특히 아시아-태평양 지역이 148개로 68.5%를 차지했으며 미국과 일본의 비중이 44.4%에 달했다. 해커들은 표적을 581개로 넓혔다고 주장하지만 사이퍼마는 검증되지 않았다고 덧붙였다.
보고서에 수록된 다크웹 내 대화록에서 해커들의 구체적인 공격 의도가 드러났다. 해커들은 지난달 28일 공격 대상을 물색하고 스캔 결과를 공유했다. 이어 국가의 정부 기관, 은행과 금융기관, 통신, 핵심 인프라, 물류 및 항공, 제조, 온라인 거래 플랫폼 등 주요 7대 산업군에서 사용 중인 PHP 기반 웹 서버를 우선 공격 대상으로 삼고 침투를 논의했다.
대화 직후 해커들은 유망하다고 판단한 국가의 IP 대역에 스캔 노드를 추가 투입해 범행을 본격화했다. 공격 대상을 논의했다는 것은 단순 무작위 해킹이 아닌 목적성이 있다는 것이었고 사이퍼마는 해커들의 목적이 명확한 금융 탈취 첩보 수집이라고 분석했다.
[관련 기사]
- “BTS, 전역을 신고합니다”
2025-06-10
- 전동킥보드·스쿠터 음주운전, 자동차 수준으로 처벌 강화 추진
2024-08-22
- BTS 슈가, 전동스쿠터 음주운전 혐의로 입건… 면허취소 처분
2024-08-07
- ‘음주 킥보드’ BTS 슈가에 병무청 “사회복무원 영향 없다”
2024-08-07
[관련 기사]
- 50조 수혈 ‘2차 메가프로젝트’ 가동… “바이오·AI 화력 집중”
2026-04-14
- 월급 12만원 증권맨, 100억 창업주로… 미래에셋 박현주 회장
2025-12-31
- 미래에셋운용 글로벌 운용자산 360조 돌파
2024-09-25
[관련 기사]
- 제약바이오협회 2026년 예산 119억 확정… 약가 정책 신약 개발 집중
2026-02-25
- 국내 제약사 오너 3세 승부수 … 원톱과 투톱
2026-02-20
- 제약업계, 국산 전문약 약가인하 유예 촉구 결의
2026-02-10
- 일동제약 구조조정 칼바람…"직원들이 무슨 죄"
2023-05-30
- 일동제약, ‘자율 준수의 날’ 기념식 진행… 윤리·준법경영 강조
2022-09-14
- 윤웅섭 부회장, 코로나19 치료제 국내 임상 돌입… 상반기 상용화 목표
2022-03-13
[관련 기사]
- 신안우이 해상풍력 2조8900억 PF 약정 완료
2026-04-09
- KB국민은행, 최고 연 6% ‘군 장기간부 적금’ 출시
2026-02-24
- 금융감독원, 금융권과 함께 취약계층에 명절 선물 전달
2026-02-11
- KB국민은행, 취약계층 이자부담 덜어 금감원 포상
2026-01-29
- AI·디지털 격변 속 은행 경쟁환경 변화…‘과거 방식으론 뒤처질 수 있어’
2026-01-04
- 금융권 ‘아름다운 나눔’ 성금 16억 원 구세군에 전달
2025-12-29
[관련 기사]
- 금융권 ‘아름다운 나눔’ 성금 16억 원 구세군에 전달
2025-12-29
- 케이뱅크, 소상공인 보증부대출 출시
2025-11-20
- KB국민은행, 중기진흥공단과 중소기업 재직자 지원 협약 체결
2025-11-17
- NH농협은행‘조직개편’발표 내부 반발 확산… IT·본점 조직 흔들
2025-11-17
- “인적 쇄신” 농협… 혁신 TF팀장 ‘낙하산·기소’ 논란 불 붙었다
2025-11-16
- [우리동네 명사들] ‘디지털 전문가’ 강태영… 디지털 리딩뱅크 도약 박차
2025-07-27
인증 없는 원격 코드 실행(RCE) 결함을 통해 공격했다. 사이퍼마는 지난달 24일 사전에 장악한 21개의 스캔 노드 IP를 통해 표적의 약 3분의 1과 접촉했다고 보고했다. 이후 25~29일 사이에는 실제 공격을 감행해 다수 표적에 웹셸(악성 스크립트)을 심었다고 해커들이 주장했으며 29일에는 의심 출발지 IP 24개가 추가로 포착됐다.
또한 해커들은 공격 우선순위는 정부와 은행이 최우선이었으며 그다음이 물류 및 거래 플랫폼이라고 전했다. 사이퍼마는 금전 탈취와 정부 기관 첩보 활동을 동시에 노리는 패턴 등 북한 해커들의 전형적인 특징과 너무나 잘 맞아떨어져서 이번 공격에 북한 해커가 연계됐다고 진단했다.
사이퍼마는 △느리고 은밀한 탐색 △순환식 일회용 인프라 △목록 가지치기 △웹셸 확보 후 기밀 탈취 등 해커들의 특징을 공개했다. 그들은 보안 경보를 울릴 만한 광범위하고 요란한 스캔 대신 속도를 조절하며 표적화된 취약점 점검을 수행한다.
침해된 스캔 노드를 주기적으로 교체하며 점검을 수행하고 탐지되어 소진된 IP 주소는 즉시 폐기하여 재사용하지 않으며 패치된 PHP 버전이 표시되거나 강력한 필터링 뒤에 있는 호스트는 목록에서 제외했다. 마지막으로 웹 쉘을 심고 설정 파일, 데이터베이스 자격 증명으로 이동해 금전적 이익을 최우선으로 추구하는 동시에 정부 기관 호스트에 대한 첩보 활동을 병행한다.
사이퍼마 측은 보고서를 통해 한국 내 표적 30곳의 IP 주소 마지막 네 번째 자리를 마스킹 처리해 공개했다. 이어 “단순히 웹사이트 응용프로그램을 업데이트하는 것만으로는 방어할 수 없다”며 “시스템 관리자가 PHP 코어 자체를 패치한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야만 웹셸 침투를 차단할 수 있다”고 권고했다.
후원하기
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요0
감동이에요0
화나요0
슬퍼요0
기사제보 
